進階持續性威脅）是一種有針對性的攻擊，攻擊者技術嫻熟，能夠入侵網路並長時間隱藏自身。
他們會利用一系列現代技術工具，並結合人為決策，而且許多攻擊者都擅長研究系統，從而悄無聲息地獲取存取權限。 在他們收集有價值的數據之前。
你需要了解的是：
- APT 是一種長期、有針對性的網路攻擊，它利用隱藏手段和人為操作。這些組織專注於潛伏在網路內部，而不是造成快速破壞。
- 攻擊者依靠網路網路釣魚、零時差漏洞、社會工程和人工智慧輔助等手段來獲取並維持存取權限。
- APT 主要針對組織，但個人也可能因資料外洩或裝置已洩露受到影響。
- 大規模資料外洩通常包含個人訊息，攻擊者會重複利用或出售這些資訊。
- APT 攻擊分階段進行，許多現代組織現在使用人工智慧來重建存取權限，以防防禦者阻止部分攻擊。
- 使用者可以透過更新設備、養成良好的電腦安全習慣以及使用基於行為的安全工具來降低風險。
- 最近的 APT 案例凸顯了供應鏈攻擊和更貼近現實的社會工程攻擊。
APT 在網路安全中的意義是什麼？
進階持續性威脅 (APT)是一種有針對性的攻擊，威脅者取得系統存取權限並長期駐留其中。
高級」一詞指的是攻擊者用於入侵的工具和技術。零日漏洞利用、自訂惡意軟體和人工智慧輔助方法都是詐騙分子常用的手段。持久」意味著攻擊者一旦入侵就不會離開。他們會持續監控系統，並在防禦者將其封鎖後重新建立存取權限。他們會根據需要調整和改進攻擊策略。
現代APT攻擊並非完全自動化。人工操作員會引導攻擊並對防禦措施做出反應，從而實現更具針對性的攻擊。人工智慧的作用日益凸顯，它使攻擊者能夠更快地行動，並以更少的精力維持存在。它還可以幫助他們隱藏身份並逃避檢測。
網路安全領域對APT攻擊的經典描述通常列出五個階段，但這些階段仍在不斷演變。新型攻擊透過自動化和靈活的命令與控制方法，增加了人工智慧驅動的持久性，即使部分攻擊活動被發現，攻擊者也可能繼續留在系統中。
為什麼人為因素至關重要
大多數APT攻擊始於有人被欺騙。社交工程學為攻擊者提供了可乘之機，它仍然是獲取存取權限最可靠的方法之一。
即使擁有強大的技術防禦，如果攻擊者誘使一個人點擊連結或洩露少量訊息，也可能被突破。
現代網路攻擊策略日益先進，不再像以往那樣廣撒網。如今，魚叉式網路網路釣魚資訊會利用真實的商業資訊或竊取的電子郵件往來。人工智慧產生的文字能夠使其看起來真實可信且專業。
誘餌攻擊也隨之演變。攻擊者可能會使用偽造的雲端登入頁面和模仿內部系統的緊急通知。這些技術使得使用者更難識別陷阱，尤其當資訊看似來自同事或值得信賴的合作夥伴時。
在許多APT攻擊的早期階段，人為因素起著決定性作用。一時的疏忽或一條精心設計的詐騙訊息都可能讓攻擊者獲得所需的存取權限，從而潛入網路。
APT攻擊是如何運作的？
APT攻擊分為一系列階段，攻擊者透過這些階段進入網路並在不引起注意的情況下進行操作。大多數攻擊都遵循一個熟悉的模式：
第一階段：取得存取權限
取得存取權限是第一步。網路犯罪分子通常會透過網路、受感染的檔案、垃圾郵件或應用程式漏洞項目目標網絡，從而植入惡意軟體。現代技術意味著這一階段通常是自動化的。攻擊者會自動化執行攻擊，同時測試多個項目點，並在安全工具阻止攻擊嘗試後調整策略。
第二階段：建立立足點
網路犯罪分子植入惡意軟體，創造後門和隧道網絡，從而在系統中悄無聲息地移動。這類惡意軟體通常採用重寫程式碼等技術來幫助駭客掩蓋蹤跡。
現代的入侵手段旨在抵禦清除嘗試，並可能自動重新安裝。有些惡意軟體會在防禦者介入時切換到新的存取路徑。
第三階段：加深存取權限
一旦進入系統，駭客會使用密碼破解等技術來取得管理員權限，從而控制更多系統內容並獲得更高級別的存取權限。如今，這個過程還可以藉助自動化工具和腳本來實現，這些工具和腳本能夠映射權限，並在存取受到限製或監控時快速調整。這使得清除攻擊者變得更加困難。
第四階段：橫向移動
在獲得管理員權限後，駭客可以在系統內部更深入地移動。他們還可以嘗試存取其他伺服器和網路中的其他安全部分。這是更多詐騙分子已經自動化處理的另一個領域，他們試圖藉此獲得更廣泛的立足點並深入了解系統。
第五階段：觀察、學習與潛伏
一旦進入系統，攻擊者會深入了解系統的運作方式及其弱點。這使他們能夠悄無聲息地收集所需資訊。同時，他們會適應安全措施，並使用高級隱藏技術盡可能長時間地潛伏在系統內。
攻擊者如何入侵並獲得控制權？
APT 組織通常從尋找單一弱點開始，並逐步利用它。這可能是公司係統、個人設備或人們日常使用的線上服務中的漏洞。
他們的攻擊手段越來越逼真。零時差漏洞利用尚未修復的軟體漏洞，可能影響企業軟體和消費者應用程式。水坑攻擊涉及感染特定用戶群體經常訪問的網站。誘餌攻擊也不斷發展，現在通常包括偽造的雲端登入頁面或看似真實的緊急系統提示，旨在欺騙員工和個人用戶。
許多 APT 攻擊並非從主要目標本身開始。相反，攻擊者通常會先入侵小型服務提供者或廣泛使用的軟體工具。透過這種方式，他們可以接觸到依賴這些服務的組織和個人用戶，尤其是在工作帳戶和個人帳戶或設備連接在一起的情況下。
攻擊者通常透過安裝後門或遠端 shell 來建立立足點。這些工具可以幫助他們隨時重新連接到系統，並阻止任何移除其存取權限的嘗試。隨後，攻擊者通常會利用系統內部漏洞來擴大存取權限。他們也會提升權限，以控制更多系統。
攻擊者如何移動、隱藏並維持長期存取權限
一旦攻擊者獲得更強大的存取權限，他們就會開始探索連接的系統、帳戶和通訊工具，同時保持隱藏。這可能包括企業伺服器、雲端服務，甚至是透過工作設備或共享帳戶連接的家庭和個人網路。
他們的目標是了解環境的運作方式，以及如何在造成傷害的同時保持不被察覺。這使他們有更多時間存取個人資訊、已連接的用戶帳戶以及與組織和個人相關的其他敏感資料。
攻擊者依賴難以留下痕跡的技術。他們可以篡改日誌，有時還會使用在記憶體中運行的複雜無檔案惡意軟體。一些攻擊者會透過加密通道路由通信，這些通道旨在與正常流量混淆。我們也看到，人工智慧輔助持久化技術可以改變安全工具的反應，並在存取權限移除後重建存取權限。
最佳防禦措施也利用人工智慧和機器學習進行反擊。這些工具會搜尋您在線上帳戶和網路中的異常行為，並可能發現與您的正常使用不符的登入模式或資料活動。這一點至關重要，因為許多高級攻擊並不依賴明顯的惡意軟體。它們會偽裝起來，伺機而動。
從個人安全角度來看，這意味著現代防護的重點在於及早降低風險，而不是在出現問題後才做出反應。安全工具可以發現細微的警告訊號，並在攻擊者有時間進一步行動或保持連線之前限制其存取權限。
APT 防禦措施仍在不斷發展
一些防禦措施仍在開發中。抗量子加密是一種新興方法，旨在保護敏感資料免受未來可能突破現有加密標準的攻擊手段的影響。雖然大多數消費者無需自行設置，但服務提供者越來越多地在後台使用它來加強長期資料保護。
最近的事件表明，APT 方法的演變速度非常快，高級持續性威脅的定義也隨著技術的發展而不斷變化。最近的攻擊甚至使用了惡意軟體更新，以及利用深度偽造音訊進行社會工程攻擊。有些人對依賴網路內部合法工具的新型「自給自足」技術感到擔憂。但每個案例都凸顯了這些群體展現的靈活性和耐心。
即使APT攻擊看似已終止，威脅也可能並未消失。攻擊者通常會留下隱藏的後門和二次植入程序，以便日後捲土重來。了解APT的完整生命週期有助於組織和個人理解其威脅類型。
高階持續性威脅（APT）的攻擊者是誰？
APT攻擊通常由資源雄厚的大型組織而非單一駭客發動。
許多APT攻擊與國家級計畫相關，政府資助長期網路行動以收集情報或取得戰略優勢。
此外，還有一些混合型攻擊者，模糊了政府支持的組織和犯罪網絡之間的界線。一些有組織的網路犯罪集團也可能使用APT式的攻擊策略（以及其他許多策略）來竊取資料或勒索金錢。
這些攻擊者通常專注於支援關鍵服務或儲存大量敏感資料的行業。
他們為何發動APT攻擊
APT組織並非千篇一律──他們發動攻擊的原因各不相同。
有些組織專注於間諜活動和長期監控，以謀取政治利益。另一些組織則旨在短期內獲取經濟利益。它們的共同點在於耐心和周詳的計劃。這些攻擊旨在長期累積價值，而非追求短期勝利。
APT攻擊會影響一般人嗎？
APT攻擊的影響通常會波及到一般用戶，作為更大規模安全漏洞的一部分。它們也可能攻擊與組織有關聯的人員。
個人如何成為間接受害者
當攻擊者入侵公司或公共服務系統時，他們通常會獲得大量個人記錄的存取權限。即使你並非預定目標，你的資訊也可能在洩漏事件中被洩漏。這很重要
個人設備如何助長攻擊
個人和工作設備經常被用作項目入口。已洩露的筆記型電腦或家庭網路可能會讓攻擊者有機可乘，因為當設備連接到企業系統時，攻擊者就能藉此進入更大的環境。隨著越來越多的家庭依賴連網設備，家庭安全方面的漏洞也可能使智慧家庭系統、個人網路和關聯帳戶面臨更廣泛的攻擊。
普通用戶可能會注意到哪些跡象
APT活動通常設計得十分隱密。但有些跡象可能會出現。這些可能包括意外的登入提醒、異常的帳戶活動以及設備運行速度比平常慢。你也應該警惕那些看似高度個人化的反覆網路釣魚攻擊。
忽視明顯的警訊可能會給攻擊者更多的時間隱藏自己，甚至增加長期帳戶被盜用或資料外洩範圍更廣的風險。
APT 攻擊與一般惡意軟體有何不同？
APT攻擊並非快速或散佈式的攻擊。它具有很強的針對性和隱蔽性，能夠長時間保持隱蔽狀態。
普通惡意軟體通常會廣泛傳播並造成立即損害，但 APT 組織會選擇特定的受害者，並以細緻而精確的方式進行攻擊，以避免被發現。實際上，它們與某些廣撒網式的惡意軟體攻擊方式截然相反。
勒索軟體攻擊是一種進階持續性威脅 (APT) 攻擊，其目的是鎖定檔案並在數小時內索取贖金。APT 攻擊者更喜歡悄無聲息地入侵系統，這樣他們可以在數週或數月內研究系統並收集有價值的數據。他們利用人類的決策和技術會隨著防守者的反應而改變。這種控制水平使它們與遵循固定腳本的基本惡意軟體分開來。
如何偵測進階持續性威脅
進階持續性威脅的偵測難度較大，因為此類威脅活動旨在融入正常行為之中。但這並不意味著它總是完美無缺或無法察覺，許多跡象仍然可以提前發出警告。警惕異常行為：
- 文件在異常時間被訪問
- 意外或無法解釋的資料傳輸
- 從陌生地點登入的帳戶
- 設備性能下降
- 網路使用率高
- 未經您操作的設定更改也可能預示著問題。
您還應該檢查是否有您未安裝的陌生應用程式或背景任務。監控重要文件和配置可以幫助您及早發現細微的變化，防止攻擊者進一步擴散。
傳統防毒軟體和防火牆嚴重依賴已知的惡意軟體特徵碼。我們的安全工具已經轉向基於行為和人工智慧驅動的監控，尋找異常行為，而不僅僅是掃描熟悉的威脅。
卡巴斯基專業的威脅偵測和病毒檢查與清除功能可以幫助保護消費者，並清除任何突破防禦的威脅。
安全警報和帳戶監控
為您的重要帳戶啟用登入警報，以便在有人試圖登入您的帳戶時收到警告。檢查所有線上帳戶和工具的活動日誌，以確認只有您本人登入。如果有人試圖使用被盜的憑據，這些警報可以為您提供早期預警。
輔助偵測工具
使用先進的安全軟體，該軟體不僅監控已知的惡意軟體特徵碼，還能監控可疑行為。基於行為和人工智慧的工具可以更快地偵測到異常情況，並阻止攻擊者進一步入侵您的系統。
請務必啟用自動更新，以便您的裝置擁有針對新型APT技術的最新保護。卡巴斯基的工具還可以保護您免受網路犯罪分子創建的虛假網站和電子郵件的侵害，這些網站和電子郵件旨在竊取您的身分和金錢。
個人如何保護自己免受APT攻擊？
定期軟體更新、多因素身分驗證、強密碼和持續的網路釣魚意識可以消除這些組織賴以生存的許多漏洞。
即使只阻止一次攻擊嘗試，也能阻止攻擊者獲得深入網路所需的存取權限。雖然這些攻擊通常針對大型組織，但個人習慣仍然至關重要。我們需要全方位的強大防禦措施。首頁設備、個人電子郵件帳號和重複使用的密碼通常是攻擊者用來入侵大型系統的弱點。
使用現代安全軟體可以降低風險。如今的工具不再專注於發現已知的惡意軟體，而是更注重限制可疑行為和防止未經授權的更改。這有助於隨著時間的推移減少風險，而不是在損害發生後才做出反應。
由於技術進步，新的保護方法也不斷出現。一些平台現在使用基於區塊鏈的追蹤技術來創建防篡改的系統活動和文件更改記錄。透過以無法悄悄更改的方式記錄事件，這些系統使得攻擊者在獲得存取權限後更難隱藏更改或改寫歷史記錄。這些技術使得攻擊者更難篡改文件或隱藏其活動。
如果懷疑系統遭到入侵該怎麼辦？
如果您認為您的設備或帳戶已被已洩露，最重要的是迅速採取行動。
首先斷開網路連線。使用安全設備更改密碼，並檢查帳戶活動，查看是否有不熟悉的登入或設定。使用能夠偵測異常行為和最新威脅的軟體進行全面安全掃描。
如果問題反覆出現，或者敏感帳戶遭到訪問，請務必了解高級攻擊者可能已留下隱藏的後門。即使某些問題看似已修復，這些後門也能讓他們重新獲得存取權限。
如果入侵跡象反覆出現，徹底擦除裝置並重新安裝系統可能是最安全的選擇。這可以清除難以偵測且可能持續威脅您安全的隱藏工具。
良好的網路安全習慣仍然至關重要。盡可能啟用多因素身分驗證以確保安全。檢查帳戶活動，尋找您不認識的登入資訊或恢復選項。
近期APT攻擊案例揭示了這些攻擊的運作方式
這並非抽象的威脅。近期發生的APT事件清晰地展現了真正的攻擊者如何在網路中悄無聲息地移動。
2020年以來的重大事件
SolarWinds：
最受關注的案例之一是2020年的SolarWinds Orion攻擊事件。攻擊者被發現「能夠對SolarWinds Orion產品進行惡意的修改，從而能夠向任何受影響的安裝發送管理員級別的命令」。
當客戶安裝該更新時，他們不知不覺地將遠端存取權限授予了攻擊者，使其能夠存取內部網路。攻擊者會選擇目標受害者進行更深入的攻擊，並使用其他工具來擴大存取權限並保持持久性。
MOVEit：
最近，2023 年的 MOVEit 資料外洩事件再次凸顯了託管文件傳輸工具的風險。一個勒索軟體軟體組織利用 MOVEit 軟體中的零日漏洞，在暴露的伺服器上安裝 Web Shell，然後在問題公開之前悄悄竊取了數千家機構的資料。
這些事件為消費者帶來了哪些啟示
它們表明，攻擊者並非總是直接攻擊個人。他們通常會入侵受信任的軟體或服務供應商，然後利用這種優勢同時攻擊多家機構。
同樣，這些事件也顯示了多階段持久化攻擊的實際運作方式。這些案例表明，攻擊者會安裝後門或使用隱藏的 Web Shell。他們會在不同的系統中移動，以獲取有價值的資訊。
對一般使用者來說，教訓很簡單：你所依賴的系統遠遠不止於你自己擁有的系統。養成良好的個人安全習慣，並在收到安全事件通知時迅速採取行動，都有助於長期降低資料風險。
相關文章：
相關產品：
問與答
APT攻擊者通常會在系統中停留多久？
APT攻擊者可以在系統中停留數週甚至數年。他們的目標是盡可能長時間地不被發現，以便持續收集資料並監視組織的運作方式。
為什麼APT攻擊如此難以偵測？
這類攻擊難以檢測，因為它們使用隱藏的策略，例如自訂工具和看似正常的系統活動。攻擊者將攻擊嵌入日常網路流量中。
APT 組織是否與特定國家有關聯？
許多 APT 組織被認為與特定國家有關聯或受其支持，而其他一些則是可能跨境活動的犯罪團夥。公開報告通常使用代號，而不是直接提及國家名稱。
APT 攻擊者如何選擇目標？
他們通常會選擇擁有重要數據或可以存取重要係統的目標。政府機構和大型公司比一般個人更容易成為攻擊目標。有時，小型組織會成為攻擊的先導，因為它們可以提供進入更大網路的途徑。
