Co je rozšířená trvalá hrozba (APT)?

Přehled APT

Rozšířená trvalá hrozba je dlouhodobý, cílený kybernetický útok navržený tak, aby pronikl do organizace a zůstal co nejdéle skrytý. Na rozdíl od plošných útoků, které hledají snadné cíle, jsou APT promyšlené a cílené na konkrétní oběť. Útočníci si cíle vybírají pečlivě a často míří na vysoce hodnotné subjekty, jako jsou vládní agentury, kritická infrastruktura nebo velké podniky. Postupují metodicky, aby získali přístup a udrželi si ho.

Cílem APT je nenápadně monitorovat aktivitu, krást citlivá data nebo narušovat provoz, aniž by si toho oběť všimla. Tyto kampaně často probíhají týdny, měsíce nebo dokonce roky. Vzhledem k jejich nenápadnosti a složitosti může být obtížné APT odhalit a ještě těžší je dostat pod kontrolu, jakmile se v prostředí uchytí.

Hlavní poznatky

APT jsou dlouhodobé cílené útoky, které můžou zůstat v organizacích skryté celé měsíce nebo roky.
Útočníci používají pokročilé nástroje, jako jsou zneužití zranitelností nultého dne, vlastní malware a sociální inženýrství, aby obešli obranu.
Kampaně APT probíhají v koordinovaných fázích, jako je počáteční přístup, laterální pohyb a narušení provozu nebo krádež dat.
Mezi běžné cíle patří státní správa, finance, zdravotnictví, technologický sektor a kritická infrastruktura.
Detekce a reakce vyžadují koordinované strategie pro detekci anomálií, analýzu hrozeb, vyšetřování a nápravu.
Osvědčené postupy, jako je instalace oprav, školení zaměstnanců a segmentace sítě, pomáhají snížit riziko APT.

Co potřebujete vědět o APT

Aby bylo možné chránit organizaci před dlouhodobými cílenými útoky, je nezbytné rozumět APT a tomu, jak fungují. Tyto hrozby obranu jen neobcházejí. Usadí se ve vašem prostředí a zůstávají tam.

APT se od jiných typů útoků liší kombinací cílenosti, sofistikovanosti a dlouhého trvání. Tyto vlastnosti z nich dělají jedny z nejobtížnějších hrozeb, které musí bezpečnostní týmy zvládat:

Pokročilá: Útočníci používají specializované nástroje a taktiky navržené tak, aby obešly tradiční bezpečnostní prvky, například zranitelnosti zero-day, vlastní malware a vícefázové operace.
Perzistentní: APT nejsou jednorázové události. Útočníci nepřetržitě pracují na udržení přístupu a využívají různé techniky, aby se vyhnuli odhalení a v případě narušení znovu získali kontrolu.
Hrozba: Tyto kampaně provádějí dobře financovaní a zkušení protivníci. Mnohé jsou spojované se státem podporovanými skupinami nebo rozsáhlými zločineckými sítěmi, které jednají s jasným záměrem a dlouhodobými cíli.

Díky pochopení těchto charakteristik můžou vedoucí pracovníci v oblasti zabezpečení a IT efektivněji posuzovat rizika, budovat odolnou obranu a zkrátit dobu, po kterou se útočníci nacházejí v jejich prostředích.

Jak APT fungují

Aktéři APT jsou vysoce motivovaní a často je podporují značné finanční zdroje. Věnují čas studiu infrastruktury cíle, identifikaci slabých míst a vývoji vlastních strategií k jejich zneužití. Jakmile se dostanou dovnitř, snaží se zůstat neodhalení, zatímco se laterálně pohybují napříč systémy, shromažďují data nebo se připravují na rozsáhlejší narušení. Kvůli takové míře utajení je včasná detekce a reakce obzvlášť obtížná.

APT probíhají v koordinovaných fázích navržených tak, aby maximalizovaly dopad a vyhnuly se odhalení.

Průzkum a plánování: Před zahájením útoku provádějí skupiny APT rozsáhlý průzkum cíle. To zahrnuje shromažďování podrobností o systémech, pracovnících, dodavatelích a potenciálních zranitelnostech, často pomocí informací z otevřených zdrojů nebo skenovacích nástrojů.
Počáteční kompromitace: Útočníci proniknou do sítě metodami, jako jsou phishingové e-maily, zneužití známých nebo neznámých zranitelností (nultého dne) nebo využití odcizených přihlašovacích údajů. Cílem je vytvořit první vstupní bod.
Zajištění opěrného bodu: Jakmile jsou útočníci uvnitř, nasadí vlastní malware, nainstalují zadní vrátka nebo vytvoří nové uživatelské účty, aby si zajistili trvalý přístup. Tím si zajistí možnost návratu i v případě, že se jeden přístupový bod uzavře.
Eskalace oprávnění: Aby se aktéři APT dostali k citlivým systémům nebo datům, snaží se zvýšit svá oprávnění, často zneužitím nesprávné konfigurace systému, krádeží administrátorských přihlašovacích údajů nebo zneužitím zranitelností umožňujících eskalaci oprávnění.
Laterální pohyb: Útočníci se pohybují napříč sítí, přecházejí ze systému do systému, mapují prostředí, shromažďují data a vyhledávají cenná aktiva. Tato fáze často zahrnuje obcházení interních obranných mechanismů a bezpečnostních nástrojů.
Exfiltrace dat nebo narušení: Jakmile se skupiny APT dostanou do vhodné pozice, můžou nenápadně krást citlivá data, jako je duševní vlastnictví, finanční záznamy nebo důvěrná komunikace. Můžou se také připravovat na rušivější aktivity, včetně nasazení ransomwaru nebo spuštění útoku typu distributed denial-of-service (DDoS).
Zachování utajení a perzistence: Během celého procesu útočníci průběžně přizpůsobují své techniky, aby zůstali skrytí. Můžou střídat servery pro příkazy a řízení (C2), používat šifrovanou komunikaci a aktualizovat malware, aby se vyhnuli odhalení.

Skupiny APT se při provádění těchto fází spoléhají na řadu vektorů útoku, například:

Cílené phishingové e-maily cílící na konkrétní zaměstnance.
Vlastní malware vytvořený pro konkrétní prostředí.
Sady zneužití, které automatizují části procesu útoku.
Zneužití zranitelností nultého dne cílící na neopravené zranitelnosti.
Servery pro příkazy a řízení pro vzdálenou správu.
Taktiky sociálního inženýrství k manipulaci interních osob.
Útoky na dodavatelský řetězec, které kompromitují důvěryhodné třetí strany.

Běžné cíle a příklady z reálného světa

Skupiny rozšířených trvalých hrozeb patří mezi nejnebezpečnější protivníky v oblasti kybernetické bezpečnosti. Tyto skupiny podporované státy nebo dobře financovanými organizacemi vedou dlouhodobé cílené kampaně zaměřené na špionáž, krádež dat nebo narušení provozu. Jejich operace často trvají měsíce nebo roky a zaměřují se na odvětví zásadní pro národní a ekonomickou bezpečnost.

Běžné cíle skupin APT
Aktéři APT se obvykle zaměřují na velké organizace nebo instituce.

Vládní a obranné organizace: Snaha získat zpravodajské informace a strategické výhody.
Finanční instituce: Snaha získat přístup k citlivým finančním datům nebo narušit ekonomickou stabilitu.
Poskytovatelé zdravotní péče: Cílení na osobní zdravotní údaje a výzkumná data.
Technologické společnosti: Snaha získat duševní vlastnictví a proprietární technologie.
Odvětví kritické infrastruktury: Včetně energetiky, dopravy a telekomunikací, kde můžou mít narušení rozsáhlé dopady.

Známé skupiny APT
Odborníci na kybernetickou bezpečnost identifikovali a sledují několik skupin APT. Mezi několik nejznámějších skupin patří:

APT28 (Fancy Bear): Tato skupina je považovaná za napojenou na ruskou vojenskou rozvědku a zaměřuje se na vládní a vojenské organizace, přičemž k pronikání do sítí používá cílený phishing a malware.
APT29 (Cozy Bear): APT29 je spojovaná s ruskými zpravodajskými službami a zaměřuje se na diplomatické a vládní subjekty. K exfiltraci dat využívá sofistikovaný malware a nenápadné techniky.
Lazarus Group: Skupině Lazarus připisované Severní Koreji jsou přisuzované operace od finančních krádeží až po rušivé útoky na mediální a zábavní sektor.

Případové studie APT
Skupiny rozšířených trvalých hrozeb provedly řadu sofistikovaných kybernetických útoků v různých odvětvích. Níže uvedené vysoce profilované příklady ilustrují jejich metody a dopady.

Kybernetický útok na přední americkou pojišťovnu: V březnu 2021 čelila přední pojišťovna se sídlem v USA ransomwarovému útoku, který narušil několik služeb. Útočníci použili ransomware k zašifrování souborů a exfiltraci dat, což zasáhlo více než 75 000 osob. Incident vyžadoval nákladné několikaměsíční vyšetřování, právní reakci a nápravná opatření k zabezpečení zasažených systémů a informování dotčených zákazníků.
Kompromitace energetické infrastruktury státu: V roce 2023 cílil koordinovaný útok na 22 společností v dánském energetickém sektoru a zneužil zranitelnost firewallu. Útočníci získali neoprávněný přístup k průmyslovým řídicím systémům některých společností, což vedlo k významným provozním narušením.
Narušení IT služeb velké zdravotnické organizace: V únoru 2024 cílil významný kybernetický útok na jednotku IT služeb ve zdravotnictví, narušil péči o pacienty a vedl ke krádeži chráněných zdravotních údajů. Útočníci použili ransomware k zašifrování souborů a exfiltraci dat, přičemž podle odhadů zasáhli 190 milionů lidí.

Tyto případy ukazují perzistentní a vyvíjející se povahu hrozeb APT a zdůrazňují potřebu robustních opatření kybernetické bezpečnosti proti APT ve všech odvětvích.

Detekce APT a reakce na ně

Kybernetické útoky APT jsou navržené tak, aby splývaly s běžnou síťovou aktivitou, takže je standardní bezpečnostní nástroje obtížně odhalují. Existují ale varovné signály, pokud víte, kde je hledat.

Indikátory kompromitace (IoC)
IoC jsou stopy zanechané škodlivou aktivitou. U útoků APT mezi ně můžou patřit:

Neobvyklé vzorce přihlašování, například přístup z neočekávaných míst nebo v neobvyklou dobu.
Neočekávaný síťový provoz mezi interními systémy a externími servery.
Přítomnost neznámých nebo podezřelých souborů, skriptů nebo uživatelských účtů.
Použití nástrojů obvykle spojovaných s útočníky, například nástrojů pro získávání přihlašovacích údajů nebo frameworků pro laterální pohyb.
Známky exfiltrace dat, včetně velkých nebo nevysvětlitelných odchozích přenosů.

Včasné rozpoznání těchto signálů může zkrátit dobu, po kterou se útočník nachází ve vašem prostředí, a snížit potenciální škody.

Strategie detekce aktivit APT
Detekce APT vyžaduje kombinaci technologií, procesů a lidí. Mezi efektivní strategie patří:

Detekce anomálií: Monitorování aktivit, které se odchylují od zavedených základních hodnot, například náhlé nárůsty přístupu k datům nebo neobvyklé administrativní akce.
Analýza kybernetických hrozeb: Využívání aktuálních zdrojů informací o hrozbách, abyste měli přehled o nejnovějších technikách útoků, nástrojích a profilech aktérů hrozeb.
Monitorování koncových bodů a sítě: Nasazení nástrojů, které poskytují přehled napříč koncovými body, cloudovými službami a síťovým provozem a pomáhají v reálném čase odhalovat známky kompromitace.
Proaktivní vyhledávání kybernetických hrozeb: Aktivní vyhledávání skrytých hrozeb ve vašem prostředí i tehdy, když nebyla aktivovaná žádná upozornění.

Společně tyto přístupy posilují schopnost včas rozpoznat aktivitu APT dřív, než způsobí trvalé škody.

Reakce na útok APT
Pokud se zjistí kybernetický útok APT, je zásadní jednat rychle a postupovat podle vhodných kroků k opětovnému získání kontroly, odstranění bezpečnostních mezer a poučení se z události, aby se vybudovalo odolnější zabezpečení.

Zadržení: Izolujte zasažené systémy nebo účty, aby se zabránilo dalšímu šíření.
Vyšetřování: Analyzujte protokoly, provoz a chování systému, abyste porozuměli pohybu, cílům a metodám útočníka.
Náprava: Odeberte škodlivé nástroje, opravte zneužité zranitelnosti a obnovte zasažené systémy.
Obnova a kontrola: Obnovte běžný provoz a současně proveďte důkladné vyhodnocení po incidentu, abyste posílili obranu a zabránili opakování.

Prevence APT

Prevence rozšířených trvalých hrozeb vyžaduje víc než jeden nástroj nebo produkt. Vyžaduje vícevrstvý přístup k zabezpečení. Protože skupiny APT používají k průniku do sítě a setrvání v ní celou řadu taktik, obrana proti nim znamená uzavírat mezery v oblasti lidí, procesů a technologií:

Školení zaměstnanců, aby rozpoznali běžné vektory útoku a dokázali na ně vhodně reagovat.
Zavedení zásad a postupů, které omezují vystavení riziku a zvyšují odolnost.
Používání aktuálních bezpečnostních nástrojů, které poskytují viditelnost, detekci a ochranu napříč celým digitálním prostředím.

Řešení, jako jsou služby spravované detekce a reakce (MDR), nabízejí kombinaci technologií a lidské odbornosti.

Osvědčené postupy prevence APT
I když žádná obrana není dokonalá, následující osvědčené postupy můžou výrazně snížit pravděpodobnost a dopad útoku APT:

Pravidelné aktualizace softwaru a správa oprav: Udržujte systémy, aplikace a firmware aktuální, abyste uzavírali známé zranitelnosti. Mnoho útoků APT uspěje zneužitím neopravených slabých míst.
Školení zaměstnanců zaměřené na boj proti phishingu: Naučte zaměstnance rozpoznávat podezřelé e-maily a zprávy, zejména pokusy o cílený phishing zaměřené na jednotlivce s přizpůsobenými návnadami.
Segmentace sítě a přístup s nejnižšími oprávněními: Omezte šíření útoku segmentací sítí a udělováním uživatelům jen takových přístupových práv, která potřebují ke své práci. Útočníkům to ztěžuje laterální pohyb.
Monitorování a plánováníreakce na incidenty: Implementujte průběžné monitorování k detekci podezřelé aktivity a udržujte dobře nacvičený plán reakce na incidenty. Tím zajistíte, že váš tým bude vědět, jak rychle jednat, pokud se útok zjistí.

Prevence APT není o odstranění veškerého rizika. Jde spíš o zvýšení náročnosti pro útočníky, ztížení jejich práce a zvýšení šance, že je včas odhalíte. Díky vícevrstvému přístupu můžou organizace vytvořit strategii hloubkové obrany, která chrání kritická aktiva i před sofistikovanými hrozbami.

Nové trendy v oblasti APT

Skupiny APT se neustále vyvíjejí. Jak obránci zlepšují své nástroje a procesy, útočníci přizpůsobují své techniky, hledají nové způsoby, jak obejít bezpečnostní prvky a udržet si přístup.

Nové techniky APT
Moderní aktéři APT stále častěji kombinují taktiky, propojují technické zneužití se sociálním inženýrstvím a útoky na dodavatelský řetězec, aby se dostali ke svým cílům. Mezi nové trendy patří:

Sofistikovanější phishingové kampaně, které využívají podrobné osobní nebo organizační údaje k vytvoření přesvědčivých návnad.
Techniky living-off-the-land, při kterých útočníci využívají legitimní nástroje a procesy, které už v prostředí existují, aby se vyhnuli odhalení.
Větší spoléhání na kompromitace dodavatelského řetězce, kdy se vektorem počátečního přístupu stanou dodavatelé třetích stran nebo aktualizace softwaru.

Kvůli těmto změnám je obtížnější spoléhat se výhradně na tradiční obranu, jako je antivirus nebo perimetrové zabezpečení.

Detekce a prevence pomocí nových technologií
Nové technologie hrají roli v útoku i obraně.

Kvantové výpočty jsou v rané fázi praktického využití. Mají potenciál narušit standardy šifrování, což by nakonec mohlo ovlivnit, jak aktéři APT přistupují ke krádeži dat nebo kompromitaci systémů.
Sjednocené řešení SecOps kombinuje řešení správy bezpečnostních informací a událostí (SIEM) s řešením rozšířené detekce a reakce (XDR) a poskytuje týmům vylepšenou detekci hrozeb a reakci na ně na jedné platformě.
AI a strojové učení už zlepšují detekci a prevenci APT. Využívání AI pro kybernetickou bezpečnost pomáhá rozpoznávat vzorce, detekovat anomálie a rychleji reagovat na hrozby, ale útočníkům také poskytuje nové možnosti, například automatizovat části kampaní nebo vytvářet přesvědčivější phishingový obsah.

S tím, jak se technologie na obou stranách dál vyvíjejí, zůstává při obraně proti útokům klíčový lidský faktor. Bezpečnostní týmy musí být informované a přizpůsobivé, aby držely krok s vyvíjejícími se hrozbami.

APT cílící na prostředí internetu věcí (IoT) a cloudu
Plocha útoku pro APT se rozšiřuje. S tím, jak stále víc organizací zavádí zařízení IoT a cloudové služby, útočníci rozšiřují své cíle.

Zařízení IoT: Tato zařízení často postrádají silné bezpečnostní prvky a můžou sloužit jako snadné vstupní body do větších sítí.
Cloudová prostředí: S přesunem pracovních úloh a dat do cloudu vyvíjejí aktéři APT nové techniky ke kompromitaci cloudových identit, nesprávně nakonfigurovaných prostředků a platforem SaaS.

Obrana proti těmto trendům znamená rozšířit stav zabezpečení tak, aby zahrnoval nejen místní systémy, ale každou část vašeho digitálního ekosystému.

Řešení zabezpečení od Microsoftu proti APT

Microsoft Defender XDR pomáhá organizacím detekovat, vyšetřovat a řešit rozšířené trvalé hrozby v celém digitálním prostředí. Microsoft Defender XDR spojuje signály z koncových bodů, identit, e-mailu, cloudových aplikací a dalších zdrojů a poskytuje sjednocený přehled o hrozbách. Bezpečnostním týmům tak pomáhá bořit sila a rychle jednat.

Pokud chcete posílit obranu proti APT a udělat další krok na cestě k lepšímu zabezpečení, prozkoumejte Microsoft Defender XDR a sjednocené řešení SecOps od zabezpečení od Microsoftu.

Zdroje informací

Další informace o zabezpečení od Microsoftu

Muž ukazuje přenosný počítač dalším dvěma ženám

Produkt

Chraňte celý podnik pomocí Microsoft Defender XDR

Chraňte své koncové body, identity, cloudové aplikace a data před kybernetickými útoky.

Další informace

Řešení

Sjednocené operace zabezpečení

Předstihněte kybernetické hrozby s komplexní platformou pro operace zabezpečení.

Další informace

Žena se usmívá a dívá se na mobilní telefon

Portál ochrany před internetovými útoky

Novinky o kybernetické bezpečnosti a AI

Seznamte se s nejnovějšími trendy a osvědčenými postupy v oblasti ochrany před kybernetickými hrozbami a AI pro kybernetickou bezpečnost.

Získat nejnovější zdroje informací

Studie Intelligence Report

Studie 2024 Digital Defense Report

Získejte nejaktuálnější přehledy hrozeb všech typů a pokyny od odborníků Microsoftu.

Zobrazit studii

Rozšířená trvalá hrozba (APT) je dlouhodobý cílený kybernetický útok prováděný dobře financovanými útočníky, často napojenými na státy nebo organizované skupiny. APT se zaměřují na průnik do konkrétních organizací a udržování trvalého neoprávněného přístupu k citlivým systémům nebo datům, často za účelem špionáže, krádeže nebo narušení provozu. Na rozdíl od oportunistických útoků používají APT sofistikované nástroje a taktiky, včetně vlastního malwaru, sociálního inženýrství a zneužití zranitelností nultého dne, aby se vyhnuly odhalení a dosáhly svých cílů.
Jeden známý příklad rozšířené trvalé hrozby nastal v únoru 2024, kdy byly narušeny IT služby velké zdravotnické organizace. Tento kybernetický útok narušil péči o pacienty a vedl ke krádeži chráněných zdravotních údajů. Útočníci použili ransomware k zašifrování souborů a exfiltraci dat, což podle odhadů zasáhlo 190 milionů lidí.
Rozšířená trvalá hrozba (APT) je typ kybernetického útoku, zatímco pokročilá ochrana před hrozbami (ATP) označuje nástroje a strategie používané k detekci těchto hrozeb a obraně proti nim. APT popisuje metody útočníka a zaměřuje se na dlouhodobé cílené operace. Naproti tomu ATP zahrnuje bezpečnostní řešení, jako je Microsoft Defender, která pomáhají organizacím tyto útoky identifikovat, vyšetřovat a řešit. I když zkratky znějí podobně, představují opačné strany prostředí kybernetické bezpečnosti.
Hlavním cílem útoku rozšířené trvalé hrozby je získat a udržet dlouhodobý neoprávněný přístup k systémům nebo datům cíle bez odhalení. Útočníci často usilují o krádež citlivých informací, špionáž, narušení provozu nebo sabotáž kritické infrastruktury. Na rozdíl od rychlých oportunistických útoků jsou APT vysoce cílené a pečlivě plánované. Zaměřují se na perzistenci a dlouhodobý strategický dopad.