Hva er en avansert vedvarende trussel (APT)?

Oversikt over APT-er

En avansert vedvarende trussel er et langvarig, målrettet cyberangrep utformet for å infiltrere en organisasjon og forbli skjult så lenge som mulig. I motsetning til brede angrep som leter etter enkle mål, er APT-er kalkulerte og personlige. Angripere velger målene nøye, ofte høyt verdsatte aktører som offentlige etater, kritisk infrastruktur eller store virksomheter. De jobber metodisk for å få tilgang og bli værende.

Målet med en APT er å overvåke aktivitet i det skjulte, stjele sensitive data eller forstyrre driften uten å varsle offeret. Disse kampanjene strekker seg ofte over uker, måneder eller til og med år. På grunn av hvor skjulte og komplekse de er, kan APT-er være vanskelige å oppdage og enda vanskeligere å begrense når de først har fått fotfeste.

Viktige hovedpunkter

APT-er er langvarige, målrettede angrep som kan forbli skjult i organisasjoner i måneder eller år.
Angripere bruker avanserte verktøy som zero-day-utnyttelser, egenskrevet skadevare og sosial manipulering for å omgå forsvar.
APT-kampanjer følger koordinerte faser som innledende tilgang, lateral bevegelse og forstyrrelse eller datatyveri.
Vanlige mål inkluderer sektorene offentlig forvaltning, finans, helse, teknologi og kritisk infrastruktur.
Oppdagelse og respons krever koordinerte strategier for avviksdeteksjon, trusselinformasjon, undersøkelse og utbedring.
Anbefalte praksiser som oppdatering, opplæring av ansatte og nettverkssegmentering bidrar til å redusere APT-risiko.

Det du trenger å vite om APT-er

For å beskytte organisasjonen mot langvarige, målrettede angrep er det viktig å forstå APT-er og hvordan de opererer. Disse truslene går ikke bare forbi forsvar. De etablerer seg i miljøet og blir værende.

Det som skiller APT-er fra andre typer angrep, er kombinasjonen av fokus, sofistikasjon og varighet. Disse egenskapene gjør dem til noen av de mest krevende truslene for sikkerhetsteam å håndtere:

Avansert: Angripere bruker spesialiserte verktøy og taktikker som er utformet for å unngå tradisjonelle sikkerhetskontroller, for eksempel nulldagssårbarheter, tilpasset skadelig programvare og flertrinnsoperasjoner.
Vedvarende: APT-er er ikke engangshendelser. Angripere jobber kontinuerlig for å opprettholde tilgang, og bruker en rekke teknikker for å unngå oppdagelse og gjenopprette kontrollen hvis de blir stanset.
Trussel: Disse kampanjene utføres av velutstyrte, dyktige motstandere. Mange er knyttet til statsstøttede grupper eller kriminelle nettverk i stor skala som opererer med tydelig hensikt og langsiktige mål.

Ved å forstå disse egenskapene kan sikkerhets- og IT-ledere vurdere risiko mer effektivt, bygge robuste forsvar og redusere tiden angripere bruker inne i miljøene deres.

Slik fungerer APT-er

APT-aktører er svært motiverte og støttes ofte av betydelige økonomiske ressurser. De tar seg tid til å studere infrastrukturen til målet, identifisere svake punkter og utvikle tilpassede strategier for å utnytte dem. Når de er inne, forsøker de å forbli uoppdaget mens de beveger seg lateralt på tvers av systemer, samler data eller forbereder større forstyrrelser. Dette nivået av skjult aktivitet gjør tidlig oppdagelse og respons særlig vanskelig.

APT-er utvikler seg i koordinerte faser som er utformet for å maksimere effekten og unngå oppdagelse.

Kartlegging og planlegging: Før et angrep starter, gjennomfører APT-grupper omfattende undersøkelser av målet. Dette omfatter innsamling av detaljer om systemer, personell, leverandører og potensielle sårbarheter, ofte ved hjelp av åpen kildekode-informasjon eller skanneverktøy.
Innledende kompromittering: Angripere bryter seg inn i nettverket gjennom metoder som phishing-e-poster, utnyttelse av kjente eller ukjente (zero-day) sårbarheter eller bruk av stjålne legitimasjonsopplysninger. Målet er å etablere det første inngangspunktet.
Etablere fotfeste: Når de er inne, distribuerer angripere egenskrevet skadevare, installerer bakdører eller oppretter nye brukerkontoer for å sikre vedvarende tilgang. Dette sikrer at de kan komme tilbake selv om ett tilgangspunkt blir stengt.
Eskalerer privilegier: For å få tilgang til sensitive systemer eller data jobber APT-aktører med å eskalere privilegiene sine, ofte ved å utnytte feilkonfigurasjoner i systemer, stjele administrative legitimasjonsopplysninger eller utnytte sårbarheter for privilegieeskalering.
Lateral bevegelse: Angripere navigerer på tvers av nettverket, og beveger seg fra system til system for å kartlegge miljøet, samle data og identifisere verdifulle ressurser. Denne fasen omfatter ofte omgåelse av interne forsvar og sikkerhetsverktøy.
Eksfiltrering av data eller forstyrrelse: Når de har etablert seg, kan APT-grupper i det skjulte stjele sensitive data, for eksempel immaterielle rettigheter, økonomiske opplysninger eller konfidensiell kommunikasjon. De kan også forberede mer forstyrrende aktiviteter, blant annet ved å distribuere løsepengevirus eller starte et angrep med distribuert tjenestenekt (DDoS).
Opprettholde skjul og varighet: Gjennom hele prosessen tilpasser angriperne kontinuerlig teknikkene sine for å forbli skjult. De kan rotere kommando- og kontrollservere (C2), bruke kryptert kommunikasjon og oppdatere skadevare for å unngå oppdagelse.

APT-grupper bruker en rekke angrepsflater for å gjennomføre disse fasene, blant annet:

Spear phishing-e-poster som retter seg mot bestemte ansatte.
Egenskrevet skadevare laget for det spesifikke miljøet.
Utnyttelsespakker som automatiserer deler av angrepsprosessen.
Utnyttelse av nulldagssårbarhet som retter seg mot upatchede sårbarheter.
Kontroll- og kommandoservere for fjernadministrasjon.
Sosial manipuleringstaktikk for å lure personer internt.
Angrep i leverandørkjeden som kompromitterer betrodde tredjeparter.

Vanlige mål og eksempler fra den virkelige verden

Avanserte vedvarende trusselgrupper er blant de mest overveldende truslene innen cybersikkerhet. Støttet av land eller velutstyrte organisasjoner gjennomfører disse gruppene langvarige, målrettede kampanjer med mål om spionasje, datatyveri eller forstyrrelse. Operasjonene deres strekker seg ofte over måneder eller år, med fokus på sektorer som er kritiske for nasjonal og økonomisk sikkerhet.

Vanlige mål for APT-grupper
APT-aktører retter seg vanligvis mot store organisasjoner eller institusjoner.

Myndighets- og forsvarsorganisasjoner: Søker etter etterretning og strategiske fordeler.
Finansinstitusjoner: Har som mål å få tilgang til sensitive finansielle data eller forstyrre økonomisk stabilitet.
Helseleverandører: Retter seg mot personlig helseinformasjon og forskningsdata.
Teknologiselskaper: Jakter på immaterielle rettigheter og egenutviklet teknologi.
Kritiske infrastruktursektorer: Inkludert energi, transport og telekommunikasjon, der forstyrrelser kan få store konsekvenser.

Bemerkelsesverdige APT-grupper
Flere APT-grupper har blitt identifisert og fulgt av cybersikkerhetsfolk. Noen av de mest bemerkelsesverdige gruppene er:

APT28 (Fancy Bear) – antas å være knyttet til russisk militær etterretning. Denne gruppen har gått etter myndighets- og militære organisasjoner, og har brukt phishing via e-post og skadevare for å infiltrere nettverk.
APT29 (Cozy Bear) – assosiert med russiske etterretningstjenester har APT29 fokusert på diplomatiske og statlige mål, og brukt sofistikert skadevare og skjulte teknikker for å eksfiltrere data.
Lazarus Group – tilskrives Nord-Korea. Lazarus har gjennomført operasjoner som spenner fra finansiell tyveri til forstyrrende angrep mot media- og underholdningssektoren.

APT-kasusstudier
Avanserte vedvarende trusselgrupper har utført en rekke sofistikerte cyberangrep på tvers av ulike sektorer. De kjente eksemplene nedenfor viser metodene og konsekvensene deres.

Cyberangrep mot et ledende amerikansk forsikringsselskap: I mars 2021 ble et ledende forsikringsselskap i USA rammet av et løsepengevirusangrep som forstyrret flere tjenester. Angriperne brukte løsepengevirus for å kryptere filer og eksfiltrere data, noe som berørte over 75 000 personer. Bruddet krevde en kostbar og månedslang gransking, juridisk håndtering og utbedring for å sikre berørte systemer og varsle kunder som ble rammet.
Kompromittering av et lands energiinfrastruktur: I 2023 ble 22 selskaper i den danske energisektoren utsatt for et koordinert angrep som utnyttet en brannmursårbarhet. Angriperne fikk uautorisert tilgang til industrielle kontrollsystemer hos enkelte selskaper, noe som førte til betydelige driftsforstyrrelser.
Brudd på IT-tjenester hos en stor helseorganisasjon: I februar 2024 ble en betydelig cyberangrep rettet mot en enhet for helserelaterte IT-tjenester, noe som forstyrret pasientbehandling og førte til tyveri av beskyttet helseinformasjon. Angriperne brukte løsepengevirus for å kryptere filer og eksfiltrere data, anslått til 190 millioner mennesker.

Disse tilfellene viser den vedvarende og stadig skiftende karakteren til APT-trusler, og understreker behovet for robuste cybersikkerhetstiltak mot APT-er i alle sektorer.

Oppdage og håndtere APT-er

APT-cyberangrep er laget for å gli inn i normal nettverksaktivitet, noe som gjør dem vanskelige å oppdage med vanlige sikkerhetsverktøy. Men det finnes varselsignaler – hvis du vet hvor du skal se.

Indikatorer på kompromittering (IoC-er)
IOC-er er sporene som blir igjen etter ondsinnet aktivitet. For APT-angrep kan dette omfatte:

Uvanlige påloggingsmønstre, som tilgang fra uventede steder eller på rare tidspunkter.
Uventet nettverkstrafikk mellom interne systemer og eksterne servere.
Tilstedeværelse av ukjente eller mistenkelige filer, skript eller brukerkontoer.
Bruk av verktøy som vanligvis forbindes med angripere, som credential dumpere eller rammeverk for lateral bevegelse.
Tegn på dataeksfiltrering, inkludert store eller uforklarlige utgående overføringer.

Å oppdage disse signalene tidlig kan forkorte tiden angriperen er i miljøet ditt, og redusere potensiell skade.

Strategier for å oppdage APT-aktivitet
For å oppdage APT-er trengs en kombinasjon av teknologi, prosesser og mennesker. Effektive strategier omfatter:

Avviksregistrering – overvåking av aktivitet som avviker fra etablerte normalverdier, som topper i datatilgang eller uvanlige administrative handlinger.
Cybertrusselinformasjon – bruk av oppdaterte trusselinformasjonsstrømmer for å holde deg informert om de nyeste angrepsteknikkene, verktøyene og profilene til trusselaktører.
Sluttpunkt- og nettverksovervåking – tar i bruk verktøy som gir oversikt på tvers av sluttpunkter, skytjenester og nettverkstrafikk, og bidrar til å oppdage tegn på kompromittering i sanntid.
Proaktiv jakt på cybertrusler – aktiv leting etter skjulte trusler i miljøet ditt, selv når ingen varsler er utløst.

Sammen gjør disse tilnærmingene deg bedre rustet til å oppdage APT-aktivitet tidlig, før den gjør varig skade.

Slik svarer du på et APT-angrep
Hvis et APT-cyberangrep blir oppdaget, er det viktig å handle raskt og følge riktige steg for å få kontroll, lukke sikkerhetshull og lære av hendelsen for å bygge en mer robust sikkerhetsstilling.

Inneslutning: Isoler berørte systemer eller kontoer for å hindre videre spredning.
Undersøkelse: Analyser logger, trafikk og systematferd for å forstå angriperens bevegelser, mål og metoder.
Utbedring: Fjern ondsinnede verktøy, lapp utnyttede sårbarheter og gjenopprett berørte systemer.
Gjenoppretting og gjennomgang: Gjenoppta normal drift samtidig som det gjennomføres en grundig gjennomgang etter hendelsen for å styrke forsvaret og hindre at det skjer igjen.

Forebygge APT-er

Å forhindre avanserte vedvarende trusler krever mer enn ett enkelt verktøy eller produkt. Det krever en flerlags sikkerhetstilnærming. Fordi APT-grupper bruker en rekke taktikker for å infiltrere og bli værende i et nettverk, betyr forsvar mot dem å tette hull på tvers av mennesker, prosesser og teknologi:

Trene ansatte i å kjenne igjen vanlige angrepsvektorer og reagere riktig.
Etablere retningslinjer og prosedyrer som begrenser eksponering og øker motstandskraften.
Bruke oppdaterte sikkerhetsverktøy som gir oversikt, deteksjon og beskyttelse på tvers av hele det digitale miljøet ditt.

Løsninger som tjenester for administrert deteksjon og respons (MDR) tilbyr en kombinasjon av teknologi og menneskelig ekspertise.

Anbefalt praksis for å forhindre APT-er
Selv om ingen forsvar er perfekt, kan følgende beste praksis redusere sannsynligheten for og konsekvensene av et APT-angrep betydelig:

Regelmessige programvareoppdateringer og oppdateringshåndtering: Hold systemer, apper og fastvare oppdatert for å lukke kjente sårbarheter. Mange APT-angrep lykkes ved å utnytte sårbarheter som ikke er lappet.
Opplæring av ansatte for å bekjempe phishing: Lær ansatte å oppdage mistenkelige e-poster og meldinger, særlig spear-phishing-forsøk som retter seg mot enkeltpersoner med skreddersydde lokkemidler.
Nettverkssegmentering og tilgang med minste privilegium: Begrens spredningen av et angrep ved å dele inn nettverk og gi brukere bare tilgangen de trenger for å gjøre jobben sin. Dette gjør lateral bevegelse vanskeligere for angripere.
Overvåking og planlegging av hendelseshåndtering: Innfør kontinuerlig overvåking for å oppdage mistenkelig aktivitet, og ha en godt innøvd plan for hendelseshåndtering. Dette sikrer at teamet ditt vet hvordan de skal handle raskt hvis et angrep blir oppdaget.

Å forhindre APT-er handler ikke om å fjerne all risiko. Det handler derimot om å heve lista for angriperne, gjøre jobben deres vanskeligere og øke sjansen for at du fanger dem tidlig. Med en lagdelt tilnærming kan organisasjoner bygge en forsvar-i-dybden-strategi som beskytter kritiske ressurser, selv mot sofistikerte trusler.

Nye trender for APT-er

APT-grupper er i stadig utvikling. Etter hvert som forsvarere forbedrer verktøyene og prosessene sine, tilpasser angriperne teknikkene sine og leter etter nye måter å omgå sikkerhetskontroller og beholde tilgang på.

Nye APT-teknikker
Moderne APT-aktører blander i økende grad taktikker og kombinerer tekniske utnyttelser med sosial manipulering og angrep på forsyningskjeden for å nå målene sine. Noen nye trender er:

Mer sofistikerte phishing-kampanjer som bruker detaljerte personlige eller organisatoriske data for å lage overbevisende lokkemidler.
Living-off-the-land-teknikker, der angripere bruker legitime verktøy og prosesser som allerede finnes i miljøet, for å unngå oppdagelse.
Større avhengighet av kompromitteringer i forsyningskjeden, der tredjepartsleverandører eller programvareoppdateringer blir veien inn for første tilgang.

Disse endringene gjør det vanskeligere å stole bare på tradisjonelt forsvar, som antivirus eller perimeterbasert sikkerhet.

Oppdagelse og forebygging gjennom nye teknologier
Nye teknologier spiller en rolle både i angrep og forsvar.

Kvantedatabehandling er i en tidlig fase av praktisk bruk. Det har potensial til å forstyrre krypteringsstandarder, noe som etter hvert kan påvirke hvordan APT-aktører går fram for å stjele data eller kompromittere systemer.
En samlet SecOps-løsning kombinerer en sikkerhetsinformasjons- og hendelsesstyringsløsning (SIEM) med en utvidet oppdagelses- og responsløsning (XDR) for å gi team bedre trusseloppdagelse og respons på én plattform.
KI og maskinlæring forbedrer allerede oppdagelse og forebygging av APT-er. Bruk av KI for cybersikkerhet hjelper deg med å oppdage mønstre, finne avvik og svare raskere på trusler – men gir også angripere nye muligheter, som å automatisere deler av kampanjene sine eller lage mer overbevisende phishing-innhold.

Etter hvert som teknologien på begge sider fortsetter å utvikle seg, forblir det menneskelige elementet sentralt i forsvaret mot angrep. Sikkerhetsteam må holde seg oppdatert og være omstillingsdyktige for å følge med på trusler som endrer seg.

APT-er som retter seg mot tingenes internett (IoT) og skymiljøer
Angrepsflaten for APT-er blir større. Etter hvert som flere organisasjoner tar i bruk IoT-enheter og skybaserte tjenester, utvider angriperne målene sine.

IoT-enheter: Disse enhetene mangler ofte sterke sikkerhetskontroller og kan fungere som enkle inngangspunkter til større nettverk.
Skymiljøer: Etter hvert som arbeidslaster og data flyttes til skyen, utvikler APT-aktører nye teknikker for å kompromittere skyidentiteter, feilkonfigurerte ressurser og SaaS-plattformer.

For å forsvare seg mot disse trendene må du utvide sikkerhetsprofilen din til å omfatte ikke bare lokale systemer, men alle deler av det digitale økosystemet.

Microsofts sikkerhetsløsninger mot APT-er

Microsoft Defender XDR hjelper organisasjoner med å oppdage, undersøke og svare på avanserte vedvarende trusler på tvers av hele det digitale miljøet deres. Ved å samle signaler fra endepunkter, identiteter, e-post, skyapper og mer, gir Microsoft Defender XDR ett samlet bilde av truslene, slik at sikkerhetsteam kan bryte ned siloer og handle raskt.

For å styrke forsvaret ditt mot APT-er og ta neste steg i sikkerhetsreisen din, kan du utforske Microsoft Defender XDR og Microsoft Sikkerhet samlet SecOps-løsning.

Ressurser

Mer informasjon om Microsoft Sikkerhet

En mann som viser en bærbar PC til to andre kvinner

Produkt

Beskytt hele virksomheten med Microsoft Defender XDR

Beskytt endepunktene, identitetene, skyappene og dataene mot cyberangrep.

Mer informasjon

Løsning

Enhetlige sikkerhetsoperasjoner

Ligg foran cybertruslene med en ende-til-ende-plattform for sikkerhetsdrift.

Mer informasjon

En kvinne ser på en mobiltelefon og smiler

Portal for trusselbeskyttelse

Nyheter om cybersikkerhet og kunstig intelligens

Oppdag de nyeste trendene og anbefalte fremgangsmåter innen datatrusselbeskyttelse og kunstig intelligens for cybersikkerhet.

Få de nyeste ressursene

Personer som ser på den bærbare datamaskinen

Innsiktsrapport

Rapporten om digitalt forsvar for 2024

Få siste nytt om trussellandskapet og veiledning fra eksperter i Microsoft.

Skaff deg rapporten

En avansert vedvarende trussel (APT) er et målrettet cyberangrep over lang tid, utført av godt finansierte angripere, ofte knyttet til land eller organiserte grupper. APT-er fokuserer på å infiltrere bestemte organisasjoner og opprettholde vedvarende, uautorisert tilgang til sensitive systemer eller data, ofte for spionasje, tyveri eller forstyrrelse. I motsetning til opportunistiske angrep bruker APT-er sofistikerte verktøy og taktikker, inkludert egendefinert skadelig kode, sosial manipulering og zero-day-utnyttelser, for å unngå oppdagelse og nå målene sine.
Et velkjent eksempel på en avansert vedvarende trussel skjedde i februar 2024, da IT-tjenestene til en stor helsetjenesteorganisasjon ble brutt. Dette cyberangrepet forstyrret pasientbehandlingen og førte til tyveri av beskyttet helseinformasjon. Angriperne brukte løsepengevirus til å kryptere filer og eksfiltrere data, noe som påvirket anslagsvis 190 millioner mennesker.
En avansert vedvarende trussel (APT) er en type cyberangrep, mens avansert trusselbeskyttelse (ATP) viser til verktøyene og strategiene som brukes for å oppdage og forsvare seg mot slike trusler. APT beskriver angriperens metoder, med fokus på langsiktige, målrettede operasjoner. I kontrast omfatter ATP sikkerhetsløsninger som Microsoft Defender som hjelper organisasjoner med å identifisere, undersøke og svare på disse angrepene. Selv om forkortelsene høres like ut, representerer de hver sin side av cybersikkerhetslandskapet.
Hovedmålet med et angrep fra en avansert vedvarende trussel er å få og beholde langsiktig, uautorisert tilgang til en målorganisasjons systemer eller data uten å bli oppdaget. Angripere prøver ofte å stjele sensitiv informasjon, drive spionasje, forstyrre driften eller sabotere kritisk infrastruktur. I motsetning til raske, opportunistiske angrep er APT-er svært målrettede og nøye planlagt, med fokus på vedvarende tilgang og strategisk påvirkning over tid.