Mis on keerukas püsioht (APT)?

APT ülevaade

Keerukas püsioht on pikaajaline, sihitud küberrünnak, mille eesmärk on tungida organisatsiooni ja jääda võimalikult kauaks varjatuks. Erinevalt laiadest rünnetest, mis otsivad lihtsaid sihtmärke, on APT-d arvutatud ja isiklikud. Ründajad valivad oma sihtmärke hoolikalt, võttes sageli sihikule suure väärtusega organisatsioone, näiteks valitsusasutusi, kriitilise tähtsusega taristut või suurettevõtteid. Nad tegutsevad metoodiliselt, et saada juurdepääs ja see ka säilitada.

APT eesmärk on tegevust vaikselt jälgida, varastada tundlikke andmeid või häirida töökorraldust, ilma ohvrit hoiatamata. Need kampaaniad kulgevad sageli nädalate, kuude või isegi aastate jooksul. Oma varjatuse ja keerukuse tõttu võib APT-sid olla raske tuvastada ning kui need on juba kanda kinnitanud, veelgi raskem ohjeldada.

Olulised järeldused

APT-d on pikaajalised sihitud rünnakud, mis võivad organisatsioonides jääda kuude või aastate kaupa varjatuks.
Ründajad kasutavad kaitsemeetmetest möödahiilimiseks täiustatud tööriistu, nagu nullpäeva haavatavused, kohandatud pahavara ja manipuleerimine.
APT kampaaniad järgivad koordineeritud etappe nagu esmane juurdepääs, lateraalne liikumine ning häirimine või andmevargus.
Levinud sihtmärkide hulka kuuluvad valitsus-, finants-, tervishoiu-, tehnoloogia- ja kriitilise tähtsusega taristu sektorid.
Tuvastamine ja reageerimine nõuavad koordineeritud strateegiaid anomaaliatuvastuseks, ohuanalüüsiks, uurimiseks ja kahjutustamiseks.
Parimad tavad, nagu paikamine, töötajate koolitamine ja võrgu segmenteerimine, aitavad vähendada APT-de riski.

Oluline teave APT-de kohta

Oma organisatsiooni kaitsmiseks pikaajaliste sihitud rünnakute eest on oluline mõista APT-sid ja nende toimimist. Need ohud ei möödu üksnes kaitsemeetmetest. Need kinnistuvad teie keskkonda ja jäävad sinna püsima.

APT-sid eristab teist tüüpi rünnakutest nende sihitus, keerukus ja kestus. Need omadused muudavad need turbemeeskondade jaoks üheks kõige keerulisemini hallatavaks ohuks.

Täiustatud: ründajad kasutavad spetsiaalseid tööriistu ja taktikaid, mis on loodud traditsioonilistest turbekontrollidest möödahiilimiseks, näiteks nullpäeva nõrkused, kohandatud ründetarkvara ja mitmeastmelised toimingud.
Püsiv: APT-d ei ole ühekordsed sündmused. Ründajad tegutsevad pidevalt juurdepääsu säilitamise nimel, kasutades erinevaid tehnikaid avastamise vältimiseks ja kontrolli taastamiseks häirete või katkestuste korral.
Oht: neid kampaaniaid viivad läbi hästi rahastatud, oskuslikud vastased. Paljud neist on seotud riiklikult toetatud rühmituste või ulatuslike kuritegelike võrgustikega, mis tegutsevad selge eesmärgi ja pikaajaliste sihtidega.

Neid omadusi mõistes saavad turbe- ja IT-juhid tõhusamalt hinnata riske, rajada vastupidavaid kaitsemeetmeid ning vähendada aega, mille jooksul ründajad nende keskkondades tegutseda saavad.

APT-de toimimine

APT ründajad on väga motiveeritud ja neid toetavad sageli märkimisväärsed rahalised vahendid. Nad võtavad aega sihtmärgi taristu uurimiseks, nõrkade kohtade tuvastamiseks ja nende ärakasutamiseks kohandatud strateegiate väljatöötamiseks. Kui nad on sisse pääsenud, püüavad nad jääda märkamatuks, liikudes lateraalselt üle süsteemide, kogudes andmeid või valmistudes ulatuslikumaks häirimiseks. Selline varjatuse tase muudab varajase tuvastamise ja reageerimise eriti keeruliseks.

APT-d toimuvad koordineeritud etappides, mis on mõeldud mõju maksimeerimiseks ja tuvastamise vältimiseks.

Luure ja planeerimine: enne rünnaku käivitamist teevad APT-rühmad sihtmärgi kohta põhjalikke uuringuid. See hõlmab üksikasjade kogumist süsteemide, töötajate, tarnijate ja võimalike haavatavuste kohta, kasutades sageli avatud lähtekoodiga luuret või skannimistööriistu.
Esmane kompromiteerimine: ründajad tungivad võrku selliste meetodite abil nagu andmepüügi e-kirjad, teadaolevate või tundmatute (nullpäeva) haavatavuste ärakasutamine või varastatud identimisteabe kasutamine. Eesmärk on luua esimene sisenemispunkt.
Kanda kinnitamine: pärast võrku sisenemist paigaldavad ründajad kohandatud ründetarkvara, tagauksi või loovad uusi kasutajakontosid, et tagada püsiv juurdepääs. See tagab, et nad saavad tagasi tulla ka siis, kui üks juurdepääsupunkt suletakse.
Õiguste suurendamine: tundlikele süsteemidele või andmetele juurdepääsu saamiseks püüavad APT ründajad suurendada oma õigusi, kasutades selleks sageli süsteemi väärkonfiguratsioonide ärakasutamist, administraatori identimisteabe vargust või õiguste vallutuse haavatavusi.
Lateraalne liikumine: ründajad liiguvad võrgus süsteemist süsteemi, et kaardistada keskkonda, koguda andmeid ja tuvastada väärtuslikke ressursse. See faas hõlmab sageli sisekaitsest ja turbetööriistadest möödumist.
Andmete väljasmugeldamine või häirimine: Kui APT-rühmad on positsiooni saavutanud, võivad nad vaikselt varastada delikaatseid andmeid nagu intellektuaalomand, finantsdokumendid või konfidentsiaalne suhtlus. Samuti võivad nad valmistuda häirivamateks tegevusteks, sealhulgas lunavara paigaldamiseks või hajusa teenusetõkestusründe (DDoS-ründe) käivitamiseks.
Varjatuse ja püsivuse säilitamine: kogu protsessi vältel kohandavad ründajad pidevalt oma tehnikaid, et jääda varjatuks. Nad võivad vahetada käsu- ja juhtservereid (C2-servereid), kasutada krüpteeritud sidet ning uuendada ründetarkvara, et vältida tuvastamist.

APT-rühmad tuginevad nende etappide läbiviimisel mitmesugustele ründedektoritele, sealhulgas:

Sihitud andmepüügimeilid kindlatele töötajatele.
Kohandatud ründetarkvara, mis on loodud konkreetse keskkonna jaoks.
Ekspluatatsioonikomplektid, mis automatiseerivad ründeprotsessi osi.
Nullpäevaekspluateerimised, mis sihivad paikamata nõrkusi.
Kaughalduseks mõeldud käsu- ja juhtimisserverid.
Manipuleerimisvõtted siseisikute mõjutamiseks.
Tarneahela rünnakud, mis kompromiteerivad usaldusväärseid kolmandaid osapooli.

Levinud sihtmärgid ja reaalsed näited

Keeruka püsiohu rühmad on küberturbes ühed kõige hirmuäratavamad vastased. Riikide või hästi rahastatud organisatsioonide toega rühmitused viivad läbi pikaajalisi sihitud kampaaniaid, mille eesmärk on luuramine, andmevargus või häirimine. Nende tegevus kestab sageli kuid või aastaid, keskendudes riigi- ja majandusjulgeoleku seisukohast kriitilistele sektoritele.

APT-rühmituste levinumad sihtmärgid
APT ründjaad seavad tavaliselt sihiks suured organisatsioonid või asutused.

Valitsus- ja kaitseorganisatsioonid: luureinfo ja strateegiliste eeliste otsimine.
Finantsasutused: eesmärk pääseda ligi tundlikele finantsandmetele või häirida majanduslikku stabiilsust.
Tervishoiuteenuse osutajad: suunates rünnakuid isiku terviseandmetele ja teadusandmetele.
Tehnoloogiaettevõtted: intellektuaalomandi ja omandiliste tehnoloogiate hankimine.
Kriitilise taristu sektorid: sealhulgas energia, transport ja telekommunikatsioon, kus häired võivad avaldada ulatuslikku mõju.

Tuntud APT ründajad
Küberturvalisuse spetsialistid on tuvastanud ja jälginud mitut APT rühmitust. Mõned tuntumad rühmitused on järgmised:

APT28 (Fancy Bear) – arvatakse, et see rühmitus on seotud Venemaa sõjaväeluurega. Nad on võtnud sihikule valitsus- ja sõjalisi organisatsioone ning kasutanud võrkudesse tungimiseks sihitud andmepüügiründeid ja ründetarkvara.
APT29 (Cozy Bear) – Venemaa luureteenistustega seotud APT29 on keskendunud diplomaatilistele ja valitsusasutustele, kasutades andmete väljasmugeldamiseks keerukat ründetarkvara ja varjatud tehnikaid.
Lazaruse rühmitus – Põhja-Koreaga seostatav Lazarus on korraldanud nii finantsvargusi kui ka häirivaid rünnakuid meedia- ja meelelahutussektorile.

APT juhtumiuuringud
Keeruka püsiohu rühmitused on pannud toime arvukalt keerukaid küberrünnakuid erinevates sektorites. Alljärgnevad tähelepanuväärsed näited illustreerivad nende meetodeid ja mõju.

Küberrünnak juhtiva USA kindlustusettevõtte vastu: 2021. aasta märtsis tabas üht juhtivat USA kindlustusettevõtet lunavararünnak, mis häiris mitme teenuse toimimist. Ründajad kasutasid lunavara failide krüptimiseks ja andmete väljasmugeldamiseks, mõjutades enam kui 75 000 üksikkasutajat. Rikkumise tõttu oli vajalik kulukas ja kuid kestnud uurimine, õiguslik reageerimine ning taastamistegevus, et kaitsta mõjutatud süsteeme ja teavitada kannatanud kliente.
Riigi energiataristu kompromiteerimine: 2023. aastal taas koordineeritud sihitud rünnak 22 Taani energiasektori ettevõtet, kasutades ära tulemüüri haavatavust. Ründajad said loata juurdepääsu mõne ettevõtte tööstusjuhtimissüsteemidele, põhjustades märkimisväärseid häireid ettevõtete tegevuses.
Suure tervishoiuorganisatsiooni IT-teenuste turbemurre: 2024. aasta veebruaris võeti märkimisväärse küberrünnakuga sihtmärgiks tervishoiuvaldkonna IT-teenuste üksus, mis põhjustas häireid patsiendihoolduses ja viis kaitstud terviseandmete varguseni. Ründajad kasutasid failide krüpteerimiseks ja andmete väljasmugeldamiseks lunavara; hinnanguliselt puudutas juhtum 190 miljonit inimest.

Need juhtumid näitavad APT ohtude püsivat ja arenevat olemust, rõhutades vajadust tugevate APT küberturbe meetmete järele kõigis sektorites.

APT-de tuvastamine ja neile reageerimine

APT küberturberünnakud on loodud sulanduma tavapärasesse võrgutegevusse, mistõttu on neid standardsete turbetööriistade abil keeruline tuvastada. Kuid hoiatusmärke on olemas – kui teate, kust otsida.

Turbemurdetunnused (iOC)
IOCd on jäljetud jäljed pahatahtlikust tegevusest. APT rünnakute puhul võivad need hõlmata järgnevat.

Ebatavalised sisselogimismustrid, näiteks juurdepääs ootamatutest asukohtadest või ebatavalistel kellaaegadel.
Ootamatu võrguliiklus sise- ja välisserverite vahel.
Tundmatute või kahtlaste failide, skriptide või kasutajakontode olemasolu.
Tööriistade kasutamine, mida ründajatega tavaliselt seostatakse, näiteks identimisteabe väljavõtmise tööriistade või lateraalse liikumise raamistike kasutamine.
Andmete väljasmugeldamise märgid, sealhulgas suured või seletamatud väljuvad andmeedastused.

Nende signaalide varajane äratundmine võib lühendada ründaja tegutsemisaega teie keskkonnas, vähendades võimalikke kahjusid.

Strateegiad APT tegevuse tuvastamiseks
APT-de tuvastamiseks on vaja tehnoloogia, protsesside ja inimeste kombinatsiooni. Tõhusad strateegiad on järgmised:

Anomaaliatuvastus – tegevuse jälgimine, mis jääb väljapoole kehtestatud baasjooni, näiteks järsk andmetele juurdepääsu järsud kasv või ebatavalised haldustoimingud.
Küberohuteave – ajakohaste ohuanalüüside kasutamine, et olla kursis uusimate ründetehnikate, tööriistade ja küberohustajate profiilidega.
Lõppseadmete ja võrgu jälgimine – tööriistade kasutuselevõtt, mis võimaldavad nähtavust lõpp-punktide, pilveteenuste ja võrguliikluse üle ning aitavad tuvastada kompromiteerimise märke reaalajas.
Proaktiivne küberohujaht – varjatud ohtude aktiivne otsimine teie keskkonnas isegi siis, kui ühtegi hoiatust pole käivitunud.

Koos tugevdavad need lähenemisviisid teie võimet tuvastada APT tegevus varakult, enne kui see põhjustab püsivat kahju.

APT rünnakule reageerimine
APT küberrünnaku tuvastamisel on oluline kiiresti tegutseda ja järgida asjakohaseid samme kontrolli taastamiseks, turvaaukude sulgemiseks ning juhtumist õppimiseks, et kujundada vastupidavam turbeseisund.

Piiramine: mõjutatud süsteemide või kontode piiramine, et vältida ründe edasist levikut.
Uurimine: logide, liikluse ja süsteemi käitumise analüüsimine, et mõista ründaja liikumisi, eesmärke ja meetodeid.
Kahjutustamine: pahatahtlike tööriistade eemaldamine, ärakasutatud haavatavuste paikamine ja mõjutatud süsteemide taastamine.
Taastumine ja läbivaatamine: tavapärase töö jätkamine, viies samal ajal läbi põhjaliku vahejuhtumijärgse ülevaatuse, et tugevdada kaitset ja vältida kordumist.

APT-de ennetamine

Keerukate püsiohtude ennetamine nõuab enamat kui ühtainsat tööriista või toodet. See nõuab mitmekihilist turvalähenemist. Kuna APT rühmitused kasutavad võrku tungimiseks ja selles püsimiseks mitmesuguseid taktikaid, tähendab kaitse nende eest puudujääkide kõrvaldamist inimeste, protsesside ja tehnoloogia tasandil.

Töötajate koolitamine, et nad tunneksid ära levinud ründevõtted ja reageeriksid asjakohaselt.
Poliitikate ja protseduuride kehtestamine, mis piiravad kokkupuudet ohtudega ja suurendavad vastupidavust.
Ajakohaste turbetööriistade kasutamine, mis pakuvad nähtavust, tuvastamist ja kaitset kogu teie digikeskkonnas.

Lahendused nagu hallatud tuvastus- ja reageerimisteenused (MDR-teenused) ühendavad tehnoloogia ja inimteadmised.

Parimad tavad APT-de ennetamiseks
Ükski kaitse ei ole täiuslik, kuid järgmised head tavad võivad oluliselt vähendada APT rünnaku tõenäosust ja mõju:

Tarkvara korrapärased teabevärskendused ja paikamishaldus: süsteemide, rakenduste ja püsivara hoidmine ajakohasena, et sulgeda teadaolevad haavatavused. Paljud APT ründed õnnestuvad paikamata haavatavuste ärakasutamise tõttu.
Töötajate koolitamine kaitseks andmepüügi eest: töötajate õpetamine, kuidas märgata kahtlaseid e-kirju ja sõnumeid, eriti üksikisikute vastu suunatud täpselt sihitud andmepüügikatseid, kus kasutatakse kohandatud peibutusi.
Võrgu segmenteerimine ja vähimate õiguste põhimõte: ründe leviku piiramine võrgu segmenteerimisega ning kasutajatele ainult selliste juurdepääsuõiguste andmine, mida nad vajavad oma töö tegemiseks. See muudab külgliikumise ründajate jaoks keerukamaks.
Jälgimine ja intsidentidele reageerimise planeerimine: pideva jälgimise rakendamine, et tuvastada kahtlast tegevust ja hästi harjutatud intsidentidele reageerimise reageerimise plaani omamine. See tagab, et teie meeskond teab, kuidas rünnaku tuvastamisel kiiresti tegutseda.

APT-de ennetamine ei tähenda kõigi riskide kõrvaldamist. Selle eesmärk ei ole saavutada täielikku puutumatust, vaid muuta ründajate tegevus keerulisemaks ja suurendada tõenäosust nad varakult avastada. Mitmekihilise lähenemisviisiga saavad organisatsioonid luua süvakaitse strateegia, mis kaitseb kriitilisi varasid ka keerukate ohtude eest.

Tekkivad APT-de suundumused

APT rühmitused on pidevas arengus. Kaitsjate tööriistade ja protsesside täiustumisel kohandavad ründajad oma tehnikaid, otsides uusi viise turvameetmetest möödahiilimiseks ja juurdepääsu säilitamiseks.

Esilekerkivad APT tehnikad
Tänapäevased APT ründajad kombineerivad üha sagedamini erinevaid taktikaid, ühendades tehnilised ründed sotsiaalse manipuleerimise ja tarneahela rünnetega, et oma sihtmärkideni jõuda. Mõned tekkivad suundumused on järgmised:

Üha keerukamad andmepüügikampaaniad, mis kasutavad veenvate peibutiste loomiseks üksikasjalikke isiklikke või organisatsioonilisi andmeid.
„Living-off-the-land“ tehnikad, mille puhul ründajad kasutavad tuvastamise vältimiseks keskkonnas juba olemasolevaid legitiimseid tööriistu ja protsesse.
Suurem sõltuvus tarneahela kompromiteerimisest, kus kolmandast osapoolest tarnijad või tarkvaravärskendused saavad esialgse juurdepääsu vahendiks.

Need muutused raskendavad tuginemist üksnes traditsiooniliste kaitsemeetmete, nt viirusetõrje või perimeetripõhise turbe, kasutamisele.

Tuvastamine ja ennetamine uute tehnoloogiate abil
Uued tehnoloogiad mängivad rolli nii rünnakus kui ka kaitses.

Kvantandmetöötlus on praktilise rakendamise varajases etapis. Sellel on potentsiaal häirida krüpteerimisstandardeid, mis võib tulevikus mõjutada seda, kuidas APT ründajad lähenevad andmevargusele või süsteemide kompromiteerimisele.
Ühtne SecOps-i lahendus ühendab turbeteabe ja -sündmuste halduse lahenduse (SIEM) ning laiendatud ohutuvastuse ja -kõrvalduse (XDR) lahenduse, et anda meeskondadele ühes platvormis tõhustatud ohu tuvastamise ja reageerimise võime.
Tehisintellekt ja masinõpe parandavad juba praegu APT-de tuvastamist ja ennetamist. TI kasutamine küberturvalisuses aitab teil märgata mustreid, tuvastada anomaaliaid ja reageerida ohtudele kiiremini—kuid need annavad ka ründajatele uusi võimalusi, näiteks kampaaniate osade automatiseerimiseks või veenvama andmepüügisisu loomiseks.

Kuigi tehnoloogia areneb mõlemal poolel pidevalt edasi, jääb inimtegur rünnete vastu kaitsmisel keskseks. Turbemeeskonnad peavad püsima kursis ja kohanemisvõimelised, et pidada sammu arenevate ohtudega.

IoT- ja pilvekeskkondade vastu suunatud APT ründed
APT rünnete ründepind laieneb. Kuna üha rohkem organisatsioone võtab kasutusele IoT-seadmeid ja pilvepõhiseid teenuseid, laiendavad ründajad oma sihtmärke.

IoT-seadmed: sageli puuduvad neil tugevad turbekontrollid, mistõttu võivad need toimida lihtsate sisenemispunktidena suurematesse võrkudesse.
Pilvekeskkonnad: kui töökoormused ja andmed liiguvad pilve, töötavad APT ründajad välja uusi tehnikaid pilveidentiteetide, valesti konfigureeritud ressursside ja SaaS-platvormide kompromiteerimiseks.

Nende suundumustega toimetulek tähendab teie turbeseisundi laiendamist nii, et see kataks mitte ainult kohapealsed süsteemid, vaid kogu teie digitaalse ökosüsteemi.

Microsofti turbelahendused kaitseks APT-de eest

Microsoft Defender XDR aitab organisatsioonidel tuvastada, uurida ja reageerida keerukatele püsiohtudele kogu nende digitaalses keskkonnas. Koondades lõppseadmetest, identiteetidest, meilidest, pilverakendustest ja muudest allikatest pärinevaid signaale, pakub Microsoft Defender XDR ühtset ülevaadet ohtudest, aidates turbemeeskondadel kõrvaldada killustatust ja kiiresti tegutseda.

APT rünnete vastase kaitse tugevdamiseks ja oma turbeteekonnal järgmise sammu tegemiseks tutvuge Microsoft Defender XDR-i ja Microsofti turbeteenuse ühtse SecOps-i lahendusega.

Ressursid

Lisateave Microsofti turbeteenuse kohta

Mees näitab sülearvutit kahele teisele naisele

Toode

Microsoft Defender XDR kaitseb kogu teie ettevõtet

Kaitske oma lõpp-punkte, identiteete, pilvrakendusi ja andmeid küberrünnete eest.

Lisateave

Lahendus

Ühtsed turbetoimingud

Edestage küberohte tervikliku turbetoimingute platvormiga.

Lisateave

Ohutõrje portaal

Küberturbe ja TI uudised

Tutvuge küberohutõrje ning küberturbe jaoks tehisintellekti kasutamise uusimate trendide ja heade tavadega.

Hankige uusimad ressursid

Turbeanalüüsi aruanne

2024. aasta digikaitsearuanne

Hankige uusimaid ülevaateid ohuanalüüsi maailma kohta ja juhiseid Microsofti ekspertidelt.

Hankige aruanne

Keerukas püsioht (APT) on pikaajaline, sihitud küberrünnak, mille korraldajad on hästi rahastatud ning mis on sageli seotud riikide või organiseeritud rühmitustega. APT ründed keskenduvad konkreetsetesse organisatsioonidesse tungimisele ja pideva loata juurdepääsu säilitamisele tundlikele süsteemidele või andmetele, sageli luuramise, varguse või häirimise eesmärgil. Erinevalt juhuslikest rünnetest kasutavad APT ründed avastamise vältimiseks ja oma eesmärkide saavutamiseks keerukaid tööriistu ja taktikaid, sealhulgas kohandatud ründevara, manipuleerimist ja nullpäeva haavatavusi.
Üks hästi tuntud näide keerukast püsiohust toimus 2024. aasta veebruaris, kui häiriti suure tervishoiuorganisatsiooni IT-teenuseid. See küberrünne häiris patsientide ravi ja viis kaitstud terviseandmete varguseni. Ründajad kasutasid failide krüpteerimiseks ja andmete väljasmugeldamiseks lunavara; hinnanguliselt mõjutas juhtum 190 miljonit inimest.
Keerukas püsioht (APT) on küberründetüüp, samas kui täiustatud ohutõrje (ATP) viitab tööriistadele ja strateegiatele, mida kasutatakse selliste ohtude tuvastamiseks ja nende vastu kaitsmiseks. APT kirjeldab ründaja tegevusviise, keskendudes pikaajalistele ja sihitud operatsioonidele. Seevastu ATP hõlmab turbelahendusi, näiteks Microsoft Defender, mis aitavad organisatsioonidel selliseid ründeid tuvastada, uurida ja neile reageerida. Need lühendid kõlavad sarnaselt, kuid esindavad küberturbemaastiku vastandlikke pooli.
APT ründe peamine eesmärk on saada sihtmärgi süsteemidele või andmetele pikaajaline loata juurdepääs ja säilitada see märkamatult. Ründajate eesmärk on sageli varastada tundlikku teavet, teostada spionaaži, häirida operatsioone või saboteerida kriitilist infrastruktuuri. Erinevalt kiiretest oportunistlikest rünnakutest on APT-d väga sihitud ja hoolikalt kavandatud, keskendudes järjekindlusele ja strateegilisele mõjule aja jooksul.