Što je napredna trajna prijetnja (APT)?

APT pregled

Napredna trajna prijetnja je dugoročni, ciljani kibernetički napad osmišljen da se infiltrira u tvrtku ili ustanovu i ostane skriven što je dulje moguće. Za razliku od širokih napada koji traže lake mete, APT-ovi su proračunati i personalizirani. Napadači pažljivo biraju mete, često ciljajući na subjekte visoke vrijednosti kao što su državne agencije, kritična infrastruktura ili velika poduzeća. Rade metodično kako bi stekli pristup i ostali unutra.

Cilj APT-a jest tiho pratiti aktivnost, ukrasti osjetljive podatke ili poremetiti poslovanje bez upozoravanja žrtve. Te se kampanje često odvijaju tijekom tjedana, mjeseci ili čak godina. Zbog svoje prikrivenosti i složenosti, APT-ove može biti teško otkriti, a još ih je teže obuzdati nakon što se ukorijene.

Ključni zaključci

APT-ovi su dugotrajni, ciljani napadi koji mogu ostati skriveni unutar organizacija mjesecima ili godinama.
Napadači upotrebljavaju napredne alate kao što su dosad nepoznate ranjivosti, prilagođeni zlonamjerni softver i društveni inženjering za zaobilaženje obrane.
APT kampanje slijede usklađene faze kao što su početni pristup, bočno kretanje i ometanje ili krađa podataka.
Uobičajene mete uključuju sektore državne uprave, financija, zdravstva, tehnologije i kritične infrastrukture.
Otkrivanje i odgovor zahtijevaju koordinirane strategije za otkrivanje anomalija, obavještajne podatke o prijetnjama, istragu i otklanjanje problema.
Najbolje prakse kao što su primjena zakrpa, edukacija zaposlenika i segmentacija mreže pomažu smanjiti rizik od APT-a.

Što trebate znati o API-jima

Da biste zaštitili svoju tvrtku ili ustanovu od dugoročnih, ciljanih napada, ključno je razumjeti API-je i kako oni funkcioniraju. Te prijetnje ne zaobilaze samo zaštite. Ugrađuju se u vaše okruženje i tamo ostaju.

Ono što APT-ove razlikuje od drugih vrsta napada njihova je kombinacija usmjerenosti, sofisticiranosti i trajanja. Te ih značajke čine jednom od najzahtjevnijih prijetnji kojima sigurnosni timovi moraju upravljati:

Napredno: Napadači upotrebljavaju specijalizirane alate i taktike osmišljene za izbjegavanje tradicionalnih sigurnosnih kontrola, kao što su dosad nepoznate ranjivosti, prilagođeni zlonamjerni softveri višefazne operacije.
Trajno: APT-ovi nisu jednokratni događaji. Napadači neprestano rade na održavanju pristupa, upotrebljavajući niz tehnika za izbjegavanje otkrivanja i ponovno uspostavljanje kontrole ako budu prekinuti.
Prijetnja: Te kampanje provode dobro financirani, vješti protivnici. Mnogi su povezani s državom sponzoriranim skupinama ili velikim kriminalnim mrežama koje djeluju s jasnom namjerom i dugoročnim ciljevima.

Razumijevanjem ovih karakteristika, voditelji sigurnosti i IT-a mogu učinkovitije procijeniti rizik, izgraditi otpornu obranu i smanjiti vrijeme koje napadači provode unutar svojih okruženja.

Kako APT-ovi funkcioniraju

APT akteri izrazito su motivirani i često imaju znatna financijska sredstva iza sebe. Odvajaju vrijeme za proučavanje infrastrukture mete, identificiranje slabih točaka i razvoj prilagođenih strategija za njihovo iskorištavanje. Nakon ulaska nastoje ostati neotkriveni dok se bočno kreću kroz sustave, prikupljaju podatke ili se pripremaju za širi poremećaj. Ta razina prikrivenosti čini rano otkrivanje i odgovor osobito teškima.

APT-ovi se odvijaju u usklađenim fazama osmišljenima za maksimalan učinak i izbjegavanje otkrivanja.

Istraživanje i planiranje: Prije pokretanja napada, APT skupine provode opsežno istraživanje mete. To uključuje prikupljanje pojedinosti o sustavima, osoblju, dobavljačima i potencijalnim ranjivostima, često upotrebom obavještajnih podataka iz otvorenih izvora ili alata za skeniranje.
Početni kompromis: Napadači prodiru u mrežu metodama kao što su phishing poruke e-pošte, iskorištavanje poznatih ili nepoznatih (zero-day) ranjivosti ili uporaba ukradenih vjerodajnica. Cilj je uspostaviti tu prvu početnu točku ulaska.
Uspostavljanje uporišta: Nakon ulaska napadači implementiraju prilagođeni zlonamjerni softver, instaliraju stražnja vrata ili stvaraju nove korisničke račune kako bi osigurali trajni pristup. Time se osigurava da se mogu vratiti čak i ako je jedna točka pristupa zatvorena.
Povećavanje ovlasti: Kako bi pristupili osjetljivim sustavima ili podacima, APT akteri rade na eskalaciji svojih privilegija, često iskorištavajući pogrešne konfiguracije sustava, krađom administratorskih vjerodajnica ili iskorištavanjem ranjivosti eskalacije privilegija.
Bočno kretanje: Napadači se kreću kroz mrežu, prelazeći sa sustava na sustav kako bi mapirali okruženje, prikupili podatke i identificirali vrijednu imovinu. Ova faza često uključuje zaobilaženje unutarnjih obrana i sigurnosnih alata.
izvlačenja podataka ili ometanje: kada se smjesti, APT grupe mogu tiho ukrasti povjerljive podatke, kao što su intelektualno vlasništvo, financijska zapisi ili povjerljiva komunikacija. Također se mogu pripremiti za ometajuće aktivnosti, uključujući implementaciju ucjenjivačkog softvera ili pokretanje distribuiranog napada uskraćivanja usluge (DDoS).
Održavanje prikrivenosti i trajnosti: Tijekom cijelog procesa napadači neprestano prilagođavaju svoje tehnike kako bi ostali skriveni. Mogu rotirati poslužitelje za zapovijedanje i kontrolu (C2), upotrebljavati šifriranu komunikaciju i ažurirati zlonamjerni softver kako bi izbjegli otkrivanje.

APT skupine oslanjaju se na niz vektora napada za provođenje tih faza, uključujući:

Poruke e-pošte usmjerene na određene zaposlenike.
Prilagođeni zlonamjerni softver stvoren za određeno okruženje.
Paketi iskorištavanja koji automatiziraju dijelove procesa napada.
Dosad nepoznata ranjivost cilja na neuparene slabe točke.
Poslužitelji za naredbe i upravljanje za udaljeno upravljanje.
Taktike društvenog inženjeringa za manipuliranje insajderima.
Napade na opskrbni lanac koji kompromitiraju pouzdane treće strane.

Uobičajene mete i primjeri iz stvarnog svijeta

Napredne skupine trajnih prijetnji spadaju među najstrašnije protivnike u kibernetičkoj sigurnosti. Uz podršku država ili dobro financiranih tvrtki ili ustanova, ove skupine provode dugotrajne, ciljane kampanje usmjerene na špijunažu, krađu podataka ili ometanje. Njihove operacije često traju mjesecima ili godinama, a usmjerene su na sektore ključne za nacionalnu i gospodarsku sigurnost.

Uobičajene mete APT grupa
APT akteri obično ciljaju velike tvrtke ili ustanove ili institucije.

Vladine i obrambene organizacije: Traženje obavještajnih podataka i strateških prednosti.
Financijske institucije: Cilj im je pristup osjetljivim financijskim podacima ili narušavanje gospodarske stabilnosti.
Zdravstvene ustanove: Ciljanje osobnih zdravstvenih podataka i istraživačkih podataka.
Tehnološke tvrtke: Traženje intelektualnog vlasništva i vlasničkih tehnologija.
Sektori kritične infrastrukture: Uključuju energetiku, prijevoz i telekomunikacije, gdje prekidi mogu imati široke posljedice.

Značajne APT grupe
Stručnjaci za kibernetičku sigurnost identificirali su i prate nekoliko APT grupa. Neke od najznačajnijih skupina uključuju:

APT28 (Fancy Bear)–Vjeruje se da je povezana s ruskom vojnom obavještajnom službom, a ova je skupina ciljala vladine i vojne organizacije, koristeći individualiziranu krađu identiteta i zlonamjerni softver za infiltraciju u mreže.
APT29 (Cozy Bear)–Povezana s ruskim obavještajnim službama, APT29 se usredotočila na diplomatske i vladine subjekte, koristeći sofisticirani zlonamjerni softver i prikrivene tehnike za krađu podataka.
Grupa Lazarus–Pripisuje joj se Sjeverna Koreja, a Lazarus je provodio operacije od financijske krađe do ometajućih napada na medijski i zabavni sektor.

Studija slučaja za APT
Grupe za napredne trajne prijetnje izvele su brojne sofisticirane kibernetičke napade u različitim sektorima. Primjeri visokog profila u nastavku ilustriraju njihove metode i učinke.

Kibernetički napad na vodeću američku osiguravajuću tvrtku: U ožujku 2021. vodeća američka osiguravajuća tvrtka doživjela je napad ucjenjivačkim softverom koji je poremetio nekoliko usluga. Napadači su upotrijebili ucjenjivački softver za šifriranje datoteka i izvlačenje podataka, čime je pogođeno više od 75.000 osoba. Zbog kršenja je potrebno skupi i mjeseci istraživanje, pravni odgovor i popravak kako bi se zaštitili zahvaćeni sustavi i obavijestili zahvaćene korisnike.
Ugrožavanje energetske infrastrukture jedne zemlje: Koordinirani napad 2023. godine usmjeren je na 22 tvrtke unutar danskog energetskog sektora, iskorištavajući ranjivost vatrozida. Napadači su dobili neovlašten pristup industrijskim kontrolnim sustavima nekih tvrtki, što je dovelo do značajnih operativnih poremećaja.
Kršenje IT usluga velike zdravstvene tvrtke ili ustanove: U veljači 2024. godine značajan kibernetički napad usmjeren je na odjel za IT usluge u zdravstvu, što je poremetilo skrb o pacijentima i dovelo do krađe zaštićenih zdravstvenih podataka. Napadači su upotrijebili ucjenjivački softver za šifriranje datoteka i izvlačenje podataka, čime je pogođeno oko 190 milijuna ljudi.

Ovi slučajevi pokazuju postojanu i evoluirajuću prirodu APT prijetnji, naglašavajući potrebu za robusnim APT mjerama kibernetičke sigurnosti u svim sektorima.

Otkrivanje APT-ova i odgovaranje na to

APT kibernetički napadi osmišljeni su tako da se uklapaju u uobičajenu mrežnu aktivnost, zbog čega ih je teško otkriti standardnim sigurnosnim alatima. No ako znate gdje potražiti – postoje znakovi upozorenja.

Pokazatelji ugroženosti (IoC-ovi)
IOC-ovi su tragovi koje ostavlja zlonamjerna aktivnost. Za APT napade, to može uključivati:

Neuobičajeni obrasci prijave, kao što je pristup s neočekivanih lokacija ili u neuobičajeno vrijeme.
Neočekivan mrežni promet između internih sustava i vanjskih poslužitelja.
Prisutnost nepoznatih ili sumnjivih datoteka, skripti ili korisničkih računa.
Korištenje alata koji se obično povezuju s napadačima, kao što su alati za izvlačenje vjerodajnica ili okviri za lateralno kretanje.
Znakovi izvlačenja podataka, uključujući velike ili neobjašnjive odlazne prijenose.

Rano prepoznavanje tih signala može skratiti vrijeme koje napadač provede u vašem okruženju, smanjujući potencijalnu štetu.

Strategije za otkrivanje aktivnosti APT-a
Otkrivanje APT-ova zahtijeva kombinaciju tehnologije, procesa i ljudi. Učinkovite strategije uključuju:

Otkrivanje anomalija–Praćenje aktivnosti koje izlaze izvan utvrđenih osnovnih vrijednosti, kao što su skokovi u pristupu podacima ili neuobičajene administrativne radnje.
Obavještajni podaci o kibernetičkim prijetnjama–Korištenje ažurnih obavještajnih podataka o prijetnjama kako bi se pratile najnovije tehnike napada, alati i profili aktera prijetnji.
Nadzor krajnjih točaka i mreže –Implementacija alata koji pružaju uvid u krajnje točke, usluge u oblaku i mrežni promet, pomažući u otkrivanju znakova kompromitiranja u stvarnom vremenu.
Proaktivno lociranje kibernetičkih prijetnji– Aktivno traženje skrivenih prijetnji u vašem okruženju, čak i kada nisu aktivirana nikakva upozorenja.

Zajedno, ovi pristupi jačaju vašu sposobnost ranog otkrivanja aktivnosti APT-a, prije nego što prouzroči trajnu štetu.

Odgovaranje na APT napad
Ako se otkrije APT kibernetički napad, ključno je brzo djelovati i slijediti odgovarajuće korake kako bi se ponovno preuzela kontrola, zatvorile sigurnosne praznine i iz događaja naučilo kako bi se izgradila otpornija sigurnosna pozicija.

Obuzdavanje: Izolirajte pogođene sustave ili račune kako biste spriječili daljnje širenje.
Istraga: Analizirajte zapisnike, promet i ponašanje sustava kako biste razumjeli kretanje, ciljeve i metode napadača.
Popravak: Uklonite zlonamjerne alate, zakrpajte iskorištene ranjivosti i vratite pogođene sustave.
Oporavak i pregled: Vratite se na normalan rad uz provođenje temeljitog postincidentnog pregleda kako biste ojačali obranu i spriječili ponavljanje.

Sprječavanje APT-ova

Sprečavanje naprednih trajnih prijetnji zahtijeva više od jednog alata ili proizvoda. To zahtijeva višeslojni sigurnosni pristup. Budući da APT grupe koriste raspon taktika za krađu i održati se unutar mreže, obrana od njih znači zatvaranje praznina među ljudima, procesima i tehnologijom:

Obučavanje zaposlenika da prepoznaju uobičajene vektore napada i odgovaraju na odgovarajući način.
Uspostavljanje pravila i postupaka koji ograničavaju izloženost i poboljšavaju otpornost.
Korištenje ažurnih sigurnosnih alata koji pružaju vidljivost, otkrivanje i zaštitu u cijelom vašem digitalnom okruženju.

Rješenja kao što su usluge upravljanog otkrivanja i odgovora (MDR) nude kombinaciju tehnologije i ljudskog stručnog znanja.

Najbolje prakse za sprječavanje APT-ova
Iako nijedna obrana nije savršena, sljedeće najbolje prakse mogu znatno smanjiti vjerojatnost i utjecaj APT napada:

Redovita ažuriranja softvera i upravljanje zakrpama: Održavajte sustave, aplikacije i opremu ažurnima kako biste uklonili poznate ranjivosti. Mnogi APT napadi uspijevaju iskorištavanjem nezakrpljenih slabosti.
Obuka zaposlenika za borbu protiv phishing napada: Naučite zaposlenike kako prepoznati sumnjive e-poruke i poruke, posebno pokušaje individualizirane krađe identiteta koje ciljaju pojedince s prilagođenim mamcima.
Segmentacija mreže i pristup s najmanjim ovlastima: Ograničite širenje napada segmentacijom mreža i dodjeljivanjem korisnicima samo onog pristupa koji im je potreban za obavljanje posla. To napadačima otežava bočno kretanje.
Nadzor i planiranje odgovora na incidente: Provedite kontinuirano praćenje kako biste otkrili sumnjive aktivnosti i održavali dobro uvježban plan odgovora na incidente. To osigurava da vaš tim zna kako brzo reagirati ako se otkrije napad.

Sprječavanje APT-ova nije pitanje uklanjanja svakog rizika. Umjesto toga, riječ je o tome da se napadačima podigne ljestvica, da im se oteža posao i poveća vjerojatnost da ćete ih rano otkriti. Uz višeslojni pristup tvrtke ili ustanove mogu stvoriti strategiju obrane u dubini koja štiti ključnu imovinu čak i od sofisticiranih prijetnji.

Novi trendovi za APT-ove

APT grupe neprestano se razvijaju. Kako defenderi poboljšavaju svoje alate i procese, napadači prilagođavaju svoje tehnike i traže nove načine za zaobilaženje sigurnosnih kontrola i održavanje pristupa.

Nove tehnike APT-a
Moderni APT akteri sve više miješaju taktike, kombinirajući tehničke iskorištavanja sa socijalnim inženjeringom i napadima na lanac opskrbe kako bi dosegli svoje ciljeve. Neki od novih trendova uključuju:

Sofisticiranije kampanje za krađu identiteta koje koriste detaljne osobne ili organizacijske podatke za stvaranje dojma.
Tehnike living off the land, pri kojima napadači koriste legitimne alate i procese koji su već prisutni u okruženju kako bi izbjegli otkrivanje.
Sve veće oslanjanje na kompromitacije lanca opskrbe, pri čemu treće strane dobavljači ili softverska ažuriranja postaju vektor za početni pristup.

Zbog tih promjena teže je oslanjati se isključivo na tradicionalne obrane poput antivirusnog softvera ili sigurnosti temeljene na perimetru.

Otkrivanje i prevencija putem novih tehnologija
Nove tehnologije imaju ulogu i u napadu i u obrani.

Kvantno računalstvo još je u ranoj fazi praktične primjene. Ima potencijal poremetiti standarde šifriranja, što bi s vremenom moglo utjecati na to kako akteri APT-a pristupaju krađi podataka ili kompromitiranju sustava.
Ujedinjeno SecOps rješenje kombinira rješenje za upravljanje sigurnosnim informacijama i događajima (SIEM) s proširenim rješenjem za otkrivanje i odgovor (XDR) kako bi se timovima omogućilo poboljšano otkrivanje i odgovor na prijetnje na jednoj platformi.
AI i strojno učenje već poboljšavaju otkrivanje i prevenciju APT-a. Korištenje umjetne inteligencije za kibernetičku sigurnost pomaže vam u uočavanju obrazaca, otkrivanju anomalija i bržem reagiranju na prijetnje, ali napadačima također daje nove mogućnosti, poput automatizacije dijelova njihovih kampanja ili generiranja uvjerljivijeg phishing sadržaja.

Kako se tehnologija na obje strane nastavlja razvijati, ljudski element i dalje je središnji u obrani od napada. Sigurnosni timovi moraju biti informirani i prilagodljivi kako bi držali korak s promjenjivim prijetnjama.

APT-ovi usmjereni na Internet stvari (IoT) i okruženja u oblaku
Površina napada za APT-ove se širi. Kako sve više tvrtki ili ustanova prihvaća IoT uređaje i servise u oblaku, napadači šire svoje ciljeve.

IoT uređaji: Budući da često nemaju snažne sigurnosne kontrole, ti uređaji mogu poslužiti kao jednostavne ulazne točke u veće mreže.
Okruženja u oblaku: Kako se radna opterećenja i podaci prebacuju u oblak, APT akteri razvijaju nove tehnike za kompromitiranje identiteta u oblaku, pogrešno konfiguriranih resursa i SaaS platformi.

Obrana od ovih trendova znači proširenje vašeg stanja sigurnosti kako biste obuhvatili ne samo lokalne sustave, već i svaki dio vašeg digitalnog ekosustava.

Microsoftova sigurnosna rješenja protiv APT-ova

Microsoft Defender XDR pomaže tvrtkama ili ustanovaa otkrivati, istraživati i odgovarati na napredne trajne prijetnje u cijelom njihovom digitalnom okruženju. Objedinjavanjem signala s krajnjih točaka, identiteta, e-pošte, aplikacija u oblaku i više, Microsoft Defender XDR pruža objedinjen prikaz prijetnji, pomažući sigurnosnim timovima da razbiju silose i brzo djeluju.

Kako biste ojačali obranu od APT-ova i poduzeli sljedeći korak u svom sigurnosnom putovanju, istražite Microsoft Defender XDR i rješenje Microsoft Security Unified SecOps.

Resursi

Saznajte više o paketu Microsoft Security

Muškarac pokazuje laptop dvjema drugim ženama

Proizvod

Zaštita cijele velike tvrtke uz Microsoft Defender XDR

Zaštitite svoje krajnje točke, identitete, aplikacije u oblaku i podatke od računalnih napada.

Saznajte više

Rješenje

Objedinjene sigurnosne operacije

Isprobajte kibernetičke prijetnje s sveobuhvatnom platformom za sigurnosne operacije.

Saznajte više

Portal za zaštitu od prijetnji

Novosti o računalnoj sigurnosti i AI-ju

Otkrijte najnovije trendove i najbolje prakse u zaštiti od računalnih prijetnji i umjetnoj inteligenciji za računalnu sigurnost.

Dohvatite najnovije resurse

Analitičko izvješće

Izvješće o digitalnoj obrani za 2024.

Dohvatite najnovije uvide u obavještavanje o prijetnjama i smjernice stručnjaka u Microsoftu.

Preuzmite izvješće

Napredna trajna prijetnja (APT) dugotrajni je, ciljano usmjeren kibernetički napad koji provode dobro financirani napadači, često povezani s državama ili organiziranim skupinama. API-ji se fokusiraju na dodjelu određenim tvrtkama ili ustanovama i održavanje neovlaštenog pristupa osjetljivim sustavima ili podacima, često radi krađe, krađe ili prekida rada. Za razliku od oportunističkih napada, APT-ovi koriste sofisticirane alate i taktike, uključujući prilagođeni zlonamjerni softver, društveni inženjering i dosad nepoznatu ranjivost, kako bi izbjegli otkrivanje i postigli svoje ciljeve.
Jedan poznati primjer napredne trajne prijetnje dogodio se u veljači 2024., kada su kompromitirane IT usluge velike zdravstvene tvrtke ili ustanove. Taj je kibernetički napad poremetio skrb za pacijente i doveo do krađe zaštićenih zdravstvenih informacija. Napadači su upotrijebili ucjenjivački softver za šifriranje datoteka i izvlačenje podataka, što je utjecalo na procijenjeno 190 milijuna ljudi.
Napredna perzistentna prijetnja (APT) je vrsta kibernetičkog napada, dok se napredna zaštita od prijetnji (ATP) odnosi na alate i strategije koje se koriste za otkrivanje i obranu od takvih prijetnji. APT opisuje metode napadača, s naglaskom na dugotrajne, ciljane operacije. Nasuprot tomu, ATP obuhvaća sigurnosna rješenja kao što je Microsoft Defender koja pomažu tvrtkama ili ustanovama identificirati, istražiti i odgovoriti na te napade. Iako akronimi zvuče slično, predstavljaju suprotne strane kibernetičkog krajolika.
Glavni cilj napada naprednom trajnom prijetnjom jest neotkriveno dobiti i zadržati dugotrajan, neovlašten pristup sustavima ili podacima mete. Napadači često žele ukrasti osjetljive informacije, provoditi špijunažu, ometati poslovanje ili sabotirati kritičnu infrastrukturu. Za razliku od brzih, oportunističkih napada, APT-ovi su vrlo ciljani i pažljivo planirani, s naglaskom na postojanost i strateški utjecaj tijekom vremena.