Czym jest zaawansowane stałe zagrożenie (APT)?

Omówienie ataków typu APT

Zaawansowane stałe zagrożenie to długotrwały, ukierunkowany cyberatak , który ma przeniknąć do organizacji i pozostać niewykryty tak długo, jak to możliwe. W przeciwieństwie do szeroko zakrojonych ataków, które szukają łatwych celów, ataki typu APT są przemyślane i nastawione na konkretny cel. Atakujący starannie wybierają cele, często atakując podmioty o dużej wartości, takie jak agencje rządowe, infrastruktura krytyczna czy duże przedsiębiorstwa. Działają metodycznie, aby uzyskać dostęp i utrzymać się w systemie.

Celem ataku typu APT jest ciche monitorowanie aktywności, kradzież danych poufnych lub zakłócenie działania bez alarmowania ofiary. Te kampanie często trwają tygodnie, miesiące, a nawet lata. Ze względu na ich skrytość i złożoność ataki typu APT mogą być trudne do wykrycia, a jeszcze trudniejsze do powstrzymania, gdy już się zadomowią.

Kluczowe wnioski

Ataki typu APT to długotrwałe, ukierunkowane ataki, które mogą pozostawać niewidoczne w organizacjach przez miesiące lub lata.
Atakujący używają zaawansowanych narzędzi, takich jak luki w zabezpieczeniach zero-day, niestandardowe złośliwe oprogramowanie i inżynieria społeczna, aby ominąć zabezpieczenia.
Kampanie ataków typu APT przebiegają w skoordynowanych fazach, takich jak uzyskanie początkowego dostępu, ruch lateralny oraz zakłócenie działania lub kradzież danych.
Do częstych celów należą sektory rządowe, finansowe, opieki zdrowotnej, technologiczne i infrastruktury krytycznej.
Wykrywanie i reagowanie wymaga skoordynowanych strategii obejmujących wykrywanie anomalii, analizę zagrożeń, dochodzenie i usuwanie skutków.
Dobre rozwiązania, takie jak instalowanie poprawek, szkolenia pracowników i segmentacja sieci, pomagają zmniejszyć ryzyko ataku typu APT.

Co musisz wiedzieć o atakach typu APT

Aby chronić swoją organizację przed długotrwałymi, ukierunkowanymi atakami, warto zrozumieć ataki typu APT i sposób ich działania. Te zagrożenia nie tylko omijają zabezpieczenia. Wnikają w środowisko i pozostają tam.

Ataki typu APT różnią się od innych typów ataków połączeniem ukierunkowania, zaawansowaniem i długim czasem trwania. Te cechy sprawiają, że są jednymi z najtrudniejszych zagrożeń, z jakimi muszą sobie radzić zespoły zabezpieczeń:

Zaawansowane: Atakujący używają specjalistycznych narzędzi i technik zaprojektowanych tak, aby omijać tradycyjne zabezpieczenia, takie jak luki w zabezpieczeniach zero-day, niestandardowe złośliwe oprogramowanie i wieloetapowe operacje.
Stałe: ataki typu APT nie są jednorazowymi zdarzeniami. Atakujący stale pracują nad utrzymaniem dostępu, używając różnych technik, aby uniknąć wykrycia i przywrócić kontrolę, jeśli zostanie zakłócona.
Zagrożenie: kampanie te są prowadzone przez dobrze finansowanych, wykwalifikowanych przeciwników. Wielu z nich jest skojarzonych z grupami sponsorowanymi przez państwa lub rozbudowanymi sieciami przestępczymi, które działają z jasno określonym celem i długoterminowymi planami.

Dzięki zrozumieniu tych cech liderzy ds. zabezpieczeń i IT mogą skuteczniej oceniać ryzyko, budować odporne zabezpieczenia i skracać czas, jaki atakujący spędzają w ich środowiskach.

Jak działają ataki typu APT

Aktorzy ataków typu APT są bardzo zmotywowani i często mają do dyspozycji duże zasoby finansowe. Poświęcają czas na poznanie infrastruktury celu, identyfikują słabe punkty i opracowują własne strategie, aby je wykorzystać. Po uzyskaniu dostępu starają się pozostać niewykryci, jednocześnie poruszają się lateralnie między systemami, zbierając dane lub przygotowując większe zakłócenia. Taki poziom skrytości sprawia, że wczesne wykrywanie i reagowanie są szczególnie trudne.

Ataki typu APT przebiegają w skoordynowanych fazach, które mają maksymalizować wpływ i unikać wykrycia.

Rozpoznanie i planowanie: Przed rozpoczęciem ataku grupy używające ataku typu APT prowadzą szeroko zakrojone badania celu. Obejmuje to zbieranie informacji o systemie, personelu, dostawcach i potencjalnych lukach, często z użyciem analizy informacji z otwartych źródeł lub narzędzi skanujących.
Początkowe naruszenie zabezpieczeń: Atakujący dostają się do sieci za pomocą metod takich jak wiadomości e-mail służące wyłudzaniu informacji, wykorzystywanie znanych lub nieznanych luk w zabezpieczeniach (zero-day) albo użycie skradzionych poświadczeń. Celem jest ustanowienie tego pierwszego punktu wejścia.
Ustanowienie przyczółka: Po wejściu do systemu atakujący wdrażają niestandardowe złośliwe oprogramowanie, instalują tylne furtki lub tworzą nowe konta użytkowników, aby zapewnić sobie stały dostęp. Dzięki temu mogą wrócić, nawet jeśli jeden z punktów dostępu zostanie zamknięty.
Podnoszenie uprawnień: Aby uzyskać dostęp do poufnych systemów lub danych, aktorzy używający ataku typu APT pracują nad podniesieniem swoich uprawnień, często wykorzystując błędne konfiguracje systemu, kradnąc poświadczenia administracyjne lub wykorzystując luki w podnoszeniu uprawnień.
Ruch lateralny: Atakujący przemieszczają się po sieci, przechodząc z systemu do systemu, aby mapować środowisko, zbierać dane i identyfikować cenne zasoby. Ta faza często obejmuje omijanie wewnętrznych zabezpieczeń i narzędzi ochronnych.
Eksfiltracja danych lub zakłócenie działania: Gdy uzyskają odpowiednią pozycję, grupy używające ataku typu APT mogą po cichu kraść dane poufne, takie jak własność intelektualna, dokumentacja finansowa czy poufna korespondencja. Mogą też przygotowywać bardziej destrukcyjne działania, w tym wdrożenie oprogramowania ransomware lub uruchomienie ataku typu rozproszona odmowa usługi (DDoS).
Utrzymywanie skrytości i trwałości: Przez cały proces atakujący stale dostosowują swoje techniki, aby pozostać niewykryci. Mogą rotować serwerami dowodzenia i kontroli (C2), korzystać z szyfrowanej komunikacji i aktualizować złośliwe oprogramowanie, aby uniknąć wykrycia.

Grupy używające ataku typu APT korzystają z różnych wektorów ataku, aby realizować te fazy, w tym:

Wiadomości e-mail typu wyłudzanie informacji przez podszywanie się wymierzone w konkretnych pracowników.
Niestandardowe złośliwe oprogramowanie przygotowane dla konkretnego środowiska.
Zestawy narzędzi do wykorzystywania luk w zabezpieczeniach, które automatyzują części procesu ataku.
Ataki typu luki w zabezpieczeniach zero-day wykorzystujące niezałatane luki w zabezpieczeniach.
Serwery kontroli i sterowania do zdalnego zarządzania.
Techniki inżynierii społecznej do manipulowania osobami z wewnątrz.
Ataki na łańcuch dostaw, które kompromitują zaufane podmioty zewnętrzne.

Typowe cele i przykłady z rzeczywistości

Grupy stosujące zaawansowane stałe zagrożenia należą do najgroźniejszych przeciwników w dziedzinie cyberbezpieczeństwa. Te grupy, wspierane przez państwa lub dobrze finansowane organizacje, prowadzą długotrwałe, ukierunkowane kampanie mające na celu szpiegostwo, kradzież danych lub zakłócanie porządku. Ich działania często trwają miesiącami lub latami i koncentrują się na sektorach kluczowych dla bezpieczeństwa narodowego i gospodarczego.

Typowe cele grup używających ataku typu APT
Zwykle atakują duże organizacje lub instytucje.

Organizacje rządowe i obronne: Poszukują informacji wywiadowczych i przewagi strategicznej.
Instytucje finansowe: Chcą uzyskać dostęp do poufnych danych finansowych lub zakłócić stabilność gospodarczą.
Dostawcy usług medycznych: Atakują dane o stanie zdrowia i dane badawcze.
Firmy technologiczne: Dążą do pozyskania własności intelektualnych i zastrzeżonych technologii.
Sektory infrastruktury o znaczeniu krytycznym: W tym energetyka, transport i telekomunikacja, gdzie zakłócenia mogą mieć szeroki wpływ.

Znane grupy używające ataku typu APT
Kilka grup używających ataku typu APT zostało zidentyfikowanych i jest śledzonych przez specjalistów ds. cyberbezpieczeństwa. Do najbardziej znanych grup należą:

APT28 (Fancy Bear)—Uważa się, że grupa jest powiązana z rosyjskim wywiadem wojskowym. Atakowała organizacje rządowe i wojskowe, wykorzystując technikę wyłudzania informacji przez podszywanie się i stosując złośliwe oprogramowanie do przenikania do sieci.
APT29 (Cozy Bear)—Powiązana z rosyjskimi służbami wywiadowczymi, grupa APT29 koncentrowała się na podmiotach dyplomatycznych i rządowych, stosując zaawansowane złośliwe oprogramowanie i techniki ukrywania się, aby wykradać dane.
Lazarus Group—Przypisywana Korei Północnej, grupa Lazarus prowadziła działania od kradzieży finansowych po ataki zakłócające w sektorze mediów i rozrywki.

Analizy przypadków ataków typu APT
Grupy stosujące zaawansowane stałe zagrożenie przeprowadziły wiele zaawansowanych cyberataków w różnych sektorach. Poniższe głośne przykłady pokazują ich metody i skutki.

Atak cybernetyczny na wiodącą amerykańską firmę ubezpieczeniową: W marcu 2021 r. wiodąca amerykańska firma ubezpieczeniowa padła ofiarą ataku typu oprogramowanie wymuszające okup, który zakłócił działanie kilku usług. Atakujący użyli oprogramowania ransomware do szyfrowania plików i wykradania danych, co dotknęło ponad 75 000 osób. Naruszenie zabezpieczeń wymagało kosztownego, wielomiesięcznego dochodzenia, działań prawnych i prac naprawczych, aby zabezpieczyć dotknięte systemy i powiadomić klientów, których to dotyczyło.
Naruszenie zabezpieczeń infrastruktury energetycznej kraju: W 2023 r. skoordynowany atak objął 22 firmy z duńskiego sektora energetycznego, wykorzystując lukę w zaporze sieciowej. Atakujący uzyskali nieautoryzowany dostęp do przemysłowych systemów sterowania w niektórych firmach, co doprowadziło do poważnych zakłóceń operacyjnych.
Naruszenie zabezpieczeń usług IT dużej organizacji medycznej: W lutym 2024 r. znaczący cyberatak objął jednostkę świadczącą usługi IT dla ochrony zdrowia, zakłócając opiekę nad pacjentami i prowadząc do kradzieży chronionych informacji zdrowotnych. Atakujący użyli oprogramowania ransomware do szyfrowania plików i wykradania danych — szacuje się, że dotyczyło to 190 milionów osób.

Te przypadki pokazują, że zagrożenia ataku typu APT są trwałe i stale się zmieniają, co podkreśla potrzebę solidnych środków cyberbezpieczeństwa przed atakami typu APT we wszystkich sektorach.

Wykrywanie i reagowanie na ataki typu APT

Ataki cybernetyczne typu APT są projektowane tak, aby wtapiały się w normalną aktywność sieci, przez co standardowe narzędzia zabezpieczające mają trudność z ich wykryciem. Ale są też sygnały ostrzegawcze — jeśli wiesz, gdzie ich szukać.

Wskaźniki naruszenia zabezpieczeń (IoCs)
Wskaźniki IOC to ślady pozostawione przez złośliwą aktywność. W przypadku ataków typu APT mogą to być:

Niestandardowe wzorce logowania, na przykład dostęp z nieoczekiwanych lokalizacji albo o nietypowych porach.
Nieoczekiwany ruch sieciowy między systemami wewnętrznymi a serwerami zewnętrznymi.
Obecność nieznanych lub podejrzanych plików, skryptów albo kont użytkowników.
Używanie narzędzi zwykle kojarzonych z atakującymi, takich jak narzędzia do zrzutu poświadczeń lub struktury do ruchu bocznego.
Ślady wykradania danych, w tym duże lub niewyjaśnione transfery wychodzące.

Wczesne rozpoznanie tych sygnałów może skrócić czas działania atakującego w Twoim środowisku i zmniejszyć potencjalne szkody.

Strategie wykrywania działań związanych z atakami typu APT
Wykrywanie ataków typu APT wymaga połączenia technologii, procesów i ludzi. Skuteczne strategie obejmują:

Wykrywanie anomalii—Monitorowanie aktywności wykraczającej poza ustalone punkty odniesienia, na przykład skoków w dostępie do danych lub nietypowych działań administracyjnych.
Inteligencja o zagrożeniach cybernetycznych—Korzystanie z aktualnych źródeł informacji o zagrożeniach, aby być na bieżąco z najnowszymi technikami ataku, narzędziami i profilami podmiotów zagrażających.
Monitorowanie punktów końcowych i sieci—Wdrażanie narzędzi, które zapewniają widoczność w całym środowisku, obejmującą punkty końcowe, usługi chmurowe i ruch sieciowy, pomagając wykrywać oznaki naruszenia zabezpieczeń w czasie rzeczywistym.
Proaktywne polowanie na zagrożenia cybernetyczne—Aktywne szukanie ukrytych zagrożeń w Twoim środowisku, nawet gdy nie uruchomiono żadnych alertów.

Razem te podejścia wzmacniają Twoją zdolność do wczesnego wykrywania aktywności ataków typu APT, zanim spowodują one trwałe szkody.

Reagowanie na atak typu APT
Jeśli wykryto atak cybernetyczny typu APT, trzeba działać szybko i wykonać odpowiednie kroki, aby odzyskać kontrolę, zamknąć luki w zabezpieczeniach i wyciągnąć wnioski ze zdarzenia, budując bardziej odporny stan zabezpieczeń.

Izolacja: Odizoluj dotknięte systemy lub konta, aby zapobiec dalszemu rozprzestrzenianiu się ataku.
Analiza: Przeanalizuj dzienniki, ruch sieciowy i zachowanie systemów, aby zrozumieć ruchy, cele i metody atakującego.
Usuwanie skutków: Usuwanie złośliwych narzędzi, łatanie wykorzystanych luk w zabezpieczeniach i przywracanie zainfekowanych systemów.
Odzyskiwanie i przegląd: Wznów normalne działanie i przeprowadź dokładny przegląd po zdarzeniu, aby wzmocnić zabezpieczenia i zapobiec jego powtórzeniu.

Zapobieganie atakom typu APT

Zapobieganie zaawansowanym stałym zagrożeniom wymaga czegoś więcej niż jednego narzędzia lub produktu. Wymaga to wielowarstwowego podejścia do zabezpieczeń. Ponieważ grupy używające ataków typu APT używają wielu technik, aby przeniknąć do sieci i utrzymać w niej obecność, obrona przed nimi oznacza zamykanie luk w obszarze ludzi, procesów i technologii:

Szkolenie pracowników, aby rozpoznawali typowe wektory ataku i odpowiednio reagowali.
Tworzenie zasad i procedur, które ograniczają narażenie na ryzyko i zwiększają odporność.
Korzystanie z aktualnych narzędzi zabezpieczających, które zapewniają widoczność, wykrywanie i ochronę w całym cyfrowym środowisku.

Rozwiązania takie jak usługi zarządzanego wykrywania i reagowania (MDR) oferują połączenie technologii i wiedzy specjalistycznej.

Najlepsze rozwiązania zapobiegania przed atakami typu APT
Choć żadna obrona nie jest idealna, poniższe najlepsze rozwiązania mogą znacznie zmniejszyć prawdopodobieństwo ataku typu APT i zmniejszyć jego skutki:

Regularne aktualizacje oprogramowania i zarządzanie poprawkami: Utrzymuj systemy, aplikacje i oprogramowanie układowe w aktualnej wersji, aby zamknąć znane luki. Wiele ataków typu APT udaje się dlatego, że wykorzystują niezałatane luki.
Nauczenie pracowników, jak przeciwdziałać wyłudzaniu informacji: Naucz pracowników, jak rozpoznawać podejrzane wiadomości e-mail i wiadomości, zwłaszcza próby wyłudzania informacji poprzez podszywanie się ukierunkowane na konkretne osoby z dopasowanymi przynętami.
Segmentacja sieci i dostęp z minimalnymi uprawnieniami: Ogranicz rozprzestrzenianie się ataku, dzieląc sieci na segmenty i przyznając użytkownikom tylko taki dostęp, jaki jest im potrzebny do pracy. To utrudnia atakującym przemieszczanie się w sieci.
Monitorowanie i planowanie reagowania na zdarzenia : Wprowadź ciągłe monitorowanie, aby wykrywać podejrzane działania, i miej dobrze przećwiczony plan reagowania na zdarzenia. Dzięki temu Twój zespół wie, jak szybko działać, jeśli wykryty zostanie atak.

Zapobieganie atakom typu APT nie polega na wyeliminowaniu całego ryzyka. Chodzi raczej o to, by podnieść poprzeczkę atakującym, utrudnić im zadanie i zwiększyć szanse na wczesne wykrycie. Przy warstwowym podejściu organizacje mogą stworzyć strategię obrony w głąb, która chroni najważniejsze zasoby nawet przed zaawansowanymi zagrożeniami.

Nowe trendy w atakach typu APT

Grupy używające ataków typu APT stale się rozwijają. Gdy obrońcy ulepszają swoje narzędzia i procesy, atakujący dostosowują swoje techniki, szukając nowych sposobów na obejście zabezpieczeń i utrzymanie dostępu.

Nowe techniki ataku typu APT
Współcześni aktorzy używający ataku typu APT coraz częściej łączą różne taktyki, zestawiając ataki techniczne z inżynierią społeczną i atakami na łańcuch dostaw, aby dotrzeć do swoich celów. Niektóre nowe trendy to:

Bardziej zaawansowane kampanie wyłudzania informacji, które wykorzystują szczegółowe dane osobiste lub organizacyjne, aby tworzyć wiarygodne przynęty.
Techniki wykorzystujące zasoby naturalne, w których atakujący wykorzystują legalne narzędzia i procesy już obecne w środowisku, aby uniknąć wykrycia.
Większe poleganie na naruszaniu zabezpieczeń łańcucha dostaw, gdy dostawcy zewnętrzni lub aktualizacje oprogramowania stają się wektorem pierwszego dostępu.

Te zmiany sprawiają, że trudniej polegać wyłącznie na tradycyjnych zabezpieczeniach, takich jak program antywirusowy czy zabezpieczenia obwodowe.

Wykrywanie i zapobieganie dzięki nowym technologiom
Nowe technologie odgrywają rolę zarówno w ataku, jak i w obronie.

Obliczenia kwantowe są na wczesnym etapie praktycznego zastosowania. Mają potencjał, by zakłócić standardy szyfrowania, co z czasem może wpłynąć na to, jak podmioty używające ataków typu APT podchodzą do kradzieży danych lub naruszeń zabezpieczeń systemu.
Zintegrowane rozwiązanie SecOps łączy w sobie rozwiązanie do zarządzania informacjami i zdarzeniami związanymi z zabezpieczeniami (SIEM) z rozszerzonym rozwiązaniem wykrywania i reagowania (XDR), aby zapewnić zespołom udoskonalone wykrywanie zagrożeń i reagowanie na nie w ramach jednej platformy.
Sztuczna inteligencja i uczenie maszynowe już teraz usprawniają wykrywanie i zapobieganie atakom typu APT. Używanie sztucznej inteligencji na potrzeby cyberbezpieczeństwa pomaga wykrywać wzorce, anomalie i szybciej reagować na zagrożenia — ale daje też atakującym nowe możliwości, na przykład automatyzowanie części kampanii albo generowanie bardziej wiarygodnych treści służącym wyłudzaniu informacji.

Gdy technologia po obu stronach stale się rozwija, czynnik ludzki nadal pozostaje kluczowy w obronie przed atakami. Zespoły ds. zabezpieczeń muszą być na bieżąco i umieć się dostosowywać, aby nadążyć za zmieniającymi się zagrożeniami.

Zagrożenia ataków typu APT wymierzone w Internet rzeczy (IoT) i środowiska chmurowe
Obszar ataku dla ataku typu APT się rozszerza. Ponieważ coraz więcej organizacji wdraża urządzenia IoT i usługi oparte na chmurze, atakujący poszerzają zakres swoich celów.

Urządzenia IoT: Często nie mają silnych zabezpieczeń, więc mogą być łatwymi punktami wejścia do większych sieci.
Środowiska chmurowe: W miarę jak obciążenia i dane przenoszą się do chmury, podmioty używające ataków typu APT opracowują nowe techniki naruszania zabezpieczeń tożsamości w chmurze, błędnie skonfigurowanych zasobów i platform SaaS.

Aby bronić się przed tymi trendami, trzeba poszerzyć stan zabezpieczeń, tak by obejmował nie tylko systemy lokalne, ale każdą część cyfrowego ekosystemu.

Rozwiązania zabezpieczające firmy Microsoft do ochrony przed atakami typu APT

Usługa Microsoft Defender XDR pomaga organizacjom wykrywać, badać i odpowiadać na zaawansowane stałe zagrożenia w całym środowisku cyfrowym. Łącząc sygnały z punktów końcowych, tożsamości, poczty e-mail, aplikacji chmurowych i nie tylko, usługa Microsoft Defender XDR zapewnia ujednolicony obraz zagrożeń, pomagając zespołom ds. zabezpieczeń przełamywać silosy i działać szybko.

Aby wzmocnić obronę przed atakami typu APT i zrobić kolejny krok w swojej drodze do większego bezpieczeństwa, poznaj usługę Microsoft Defender XDR oraz rozwiązania zabezpieczające firmy Microsoft.

Zasoby

Dowiedz się więcej o rozwiązaniach zabezpieczających firmy Microsoft

Mężczyzna pokazuje laptopa dwóm innym kobietom

Produkt

Chroń całe swoje przedsiębiorstwo za pomocą usługi Microsoft Defender XDR

Chroń swoje punkty końcowe, tożsamości, aplikacje w chmurze i dane przed cyberatakami.

Dowiedz się więcej

Rozwiązanie

Ujednolicone operacje zabezpieczeń

Wyprzedź cyberzagrożenia dzięki kompleksowej platformie operacji zabezpieczeń.

Dowiedz się więcej

Kobieta patrzy na telefon komórkowy i się uśmiecha

Portal ochrony przed zagrożeniami

Wiadomości dotyczące cyberbezpieczeństwa i sztucznej inteligencji

Odkrywaj najnowsze trendy i najlepsze rozwiązania w zakresie ochrony przed cyberzagrożeniami i sztucznej inteligencji w temacie cyberbezpieczeństwa.

Pobierz najnowsze zasoby

Raport dotyczący analizy

Raport ona temat ochrony cyfrowej 2024

Uzyskaj najnowsze informacje na temat analizy zagrożeń i wskazówki od ekspertów w firmie Microsoft.

Pobierz raport

Zaawansowane stałe zagrożenie (APT) to długotrwały, ukierunkowany cyberatak przeprowadzany przez dobrze finansowanych atakujących, często powiązanych z państwami lub zorganizowanymi grupami. Ataki typu APT skupiają się na infiltracji konkretnych organizacji i utrzymywaniu ciągłego, nieautoryzowanego dostępu do poufnych systemów lub danych, często w celu szpiegostwa, kradzieży albo zakłócenia działania. W przeciwieństwie do ataków oportunistycznych, ataki typu APT wykorzystują zaawansowane narzędzia i taktyki, w tym niestandardowe złośliwe oprogramowanie, inżynierię społeczną i naruszenia luk w zabezpieczeniach zero-day, aby uniknąć wykrycia i osiągnąć swoje cele.
Jednym z dobrze znanych przykładów zaawansowanego stałego zagrożenia było zdarzenie z lutego 2024 r., gdy naruszono zabezpieczenia usług IT dużej organizacji z sektora ochrony zdrowia. Ten cyberatak zakłócił opiekę nad pacjentami i doprowadził do kradzieży chronionych informacji zdrowotnych. Szacuje się, że atakujący wykorzystali oprogramowanie ransomware do zaszyfrowania plików i wykradnięcia danych, co dotknęło około 190 milionów osób.
Zaawansowane stałe zagrożenie (APT) to rodzaj cyberataku, a zaawansowana ochrona przed zagrożeniami (ATP) oznacza narzędzia i strategie używane do wykrywania takich zagrożeń i obrony przed nimi. Atak typu APT opisuje metody atakującego, skupiając się na długoterminowych, ukierunkowanych działaniach. Z kolei ochrona ATP obejmuje rozwiązania zabezpieczające, takie jak program Microsoft Defender, które pomagają organizacjom identyfikować, badać i reagować na te ataki. Chociaż te skróty brzmią podobnie, oznaczają przeciwne strony cyberbezpieczeństwa.
Głównym celem ataku typu zaawansowane stałe zagrożenie jest uzyskanie i utrzymanie długoterminowego, nieautoryzowanego dostępu do systemów lub danych celu bez wykrycia. Atakujący często chcą kraść poufne informacje, prowadzić szpiegostwo, zakłócać działanie albo sabotować krytyczną infrastrukturę. W przeciwieństwie do szybkich, oportunistycznych ataków, ataki typu APT są bardzo precyzyjnie ukierunkowane i starannie planowane, a ich celem jest długotrwała obecność i strategiczny wpływ w czasie.