Что такое продолжительные атаки повышенной сложности (APT)?

Получите сведения о продолжительных атаках повышенной сложности и о том, как обнаруживать и предотвращать такие целенаправленные кибератаки, и как реагировать на них, используя многоуровневые стратегии безопасности.

Обзор Microsoft Defender XDR

Обзор продолжительных атак повышенной сложности

Продолжительная атака повышенной сложности — это длительная целенаправленная кибератака, предназначенная для проникновения в инфраструктуру организации и для скрытого присутствия там в течение как можно более длительного времени. В отличие от атак с широким охватом, в которых производится поиск уязвимых целей, продолжительные атаки повышенной сложности — это тщательно рассчитанные и узконаправленные атаки. Злоумышленники тщательно выбирают цели. Зачастую целями являются особо важные организации: государственные структуры, объекты критической инфраструктуры или крупные предприятия. Злоумышленники действуют последовательно и методически, чтобы получить доступ к системам и сохранить его.

Цель APT — скрытное отслеживание действий, кража конфиденциальных данных или нарушение операций незаметным для жертвы образом. Такие кампании зачастую проводятся в течение нескольких недель, месяцев или даже лет. Ввиду скрытности и сложности такие атаки может быть непросто обнаруживать и еще труднее устранять, если атака уже подействовала.

Основные выводы

Продолжительные атаки повышенной сложности — это длительные целевые атаки, которые могут оставаться незамеченными в течение нескольких месяце или даже нескольких лет.
Злоумышленники используют современные средства: эксплойты нулевого дня, вредоносные программы индивидуальной разработки и социотехнику, чтобы обходить средства защиты.
Кампании APT проводятся в виде скоординированных этапов: первоначальный доступ, горизонтальное перемещение, затем нарушение работы или кража данных.
В число распространенных целей входят государственные структуры, финансовые организации, учреждения здравоохранения, технологические компании и секторы критической инфраструктуры.
Для обнаружения атак и реагирования на них требуются скоординированные стратегии обнаружения аномалий, аналитики угроз, исследования и исправления.
Для снижения риска атак APK следует соблюдать рекомендации: устанавливать исправления, обучать сотрудников и применять сегментацию сети.

Что следует знать о продолжительных атаках повышенной сложности

Для защиты организаций от длительных целенаправленных атак важно понимать, как устроены продолжительные атаки повышенной сложности, и как они действуют. Такие угрозы не просто обходят защитные средства. Они внедряются в среду и остаются в ней.

Отличие продолжительных атак повышенной сложности от атак других типов заключается в сочетании ряда факторов: это сложные атаки, нацеленные на определенные объекты и проводящиеся в течение длительного времени. В силу этих особенностей справляться с такими атаками особенно трудно.

Сложность: злоумышленники применяют специализированные средства и тактику, чтобы обходить традиционные инструменты безопасности. В частности, используются уязвимости нулевого дня, вредоносные программы индивидуальной разработки и многоэтапные операции.
Постоянные угрозы: продолжительные атаки повышенной сложности — это не однократные события. Злоумышленники постоянно работают над сохранением доступа и применяют различные технологии, чтобы избегать обнаружения и восстанавливать контроль в случае его утраты.
Угроза: такие кампании проводятся опытными противниками, которые располагают значительными средствами. Многие кампании могут быть связаны с группами, которые поддерживаются государством, или с крупными преступными сетями, которые действуют с четко выраженными намерениями и долгосрочными целями.

Понимая эти характеристики, руководители служб безопасности и ИТ-отделов могут эффективнее оценивать риск, создавать устойчивые меры защиты и снижать время пребывания злоумышленников в атакованной среде.

Как устроены продолжительные атаки повышенной сложности

Злоумышленники, проводящие атаки APT, хорошо мотивированы и зачастую располагают значительными финансовыми ресурсами. Они тщательно исследуют инфраструктуру цели, выявляют слабые места и разрабатывают стратегии, чтобы воспользоваться ими. После получения доступа в систему они стараются остаться незамеченными и перемешаются по системам горизонтально, чтобы собирать данные или готовиться к более серьезным нарушениям работы. Из-за скрытности обнаруживать такие атаки на ранних этапах и реагировать исключительно трудно.

Продолжительные атаки повышенной сложности развертываются в несколько скоординированных этапов, чтобы добиться наибольшего эффекта и избежать обнаружения.

Рекогносцировка и планирование: перед началом атаки группы APT проводят тщательное изучение цели. Производится сбор сведений о системах, персонале, поставщиках и потенциальных уязвимостях. Для этого часто используются сведения из открытых источников или инструменты сканирования.
Первоначальная компрометация: злоумышленники проникают в сеть, используя фишинговые сообщения электронной почты, известные или неизвестные уязвимости (так называемые "уязвимости нулевого дня") или украденные учетные данные. Цель заключается в создании этой первой точки входа.
Закрепление в инфраструктуре: после проникновения злоумышленники развертывают специально созданные вредоносные программы, устанавливают бэкдоры или создают новые учетные записи пользователей, чтобы сохранить постоянный доступ. Такие меры дают возможность злоумышленникам вернуться в систему даже после закрытия какой-либо одной точки доступа.
Повышение привилегий: для получения доступа к конфиденциальным системам или данным участники атак APT стараются повысить свои привилегии. Для этого они пользуются неправильными настройками систем или уязвимостями в системе повышения привилегий (или крадут учетные данные администраторов).
Горизонтальное перемещение: злоумышленники перемещаются по сети от одной системы к другой, чтобы составить карту среды, собрать данные и определить ценные ресурсы. На этом этапе зачастую производится обход внутренних защитных механизмов и средств безопасности.
Кража данных или нарушение работы: после подготовки и взлома необходимых ресурсов группы APT могут скрытно похищать конфиденциальные данные, например интеллектуальную собственность, финансовые записи или конфиденциальные сообщения. Кроме того, атаки могут проводиться для причинения более серьезного ущерба. Например, могут развертываться программы-шантажисты или запускатьсяраспределенные атаки типа "отказ в обслуживании" (DDoS).
Скрытность и устойчивость: пока осуществляется атака, злоумышленники постоянно совершенствуют применяемые технологии, чтобы атака осталась незаметной. Они могут сменять серверы управления и контроля (C2), использовать зашифрованный обмен информацией и обновлять вредоносные программы, чтобы не допускать обнаружения.

Группы APT опираются на широкий набор направлений атак для осуществления этих действий. В частности, используется следующие методы:

Целенаправленные фишинговые сообщения электронной почты, адресованные конкретным сотрудникам.
Вредоносные программы, созданные индивидуально для определенной среды.
Пакеты эксплойтов для автоматизации частей процесса атаки.
Эксплойты нулевого дня, нацеленные на неустраненные уязвимости.
Удаленное управление с помощью серверов управления.
Методы социотехники для манипулирования инсайдерами.
Атаки на цепочку поставок с компрометацией доверенных третьих сторон.

Распространенные цели и реальные примеры

Группы, проводящие продолжительные атаки повышенной сложности, входят в число наиболее опасных противников с точки зрения кибербезопасности. Эти группы, пользуясь поддержкой государства или организаций с мощным финансовым обеспечением, проводят длительные целенаправленные кампании, целью которых может быть шпионаж, кража данных или нарушение работы. Атаки могут проводиться на протяжении нескольких месяцев или даже нескольких лет. Целью таких атак могут быть секторы, важные для государственной и экономической безопасности.

Распространенные цели групп APT
Как правило, группы APT нацеливают кибератаки на крупные организации и учреждения.

Государственные структуры и военные организации: поиск разведывательных данных и получение стратегического преимущества.
Финансовые учреждения: получение доступа к конфиденциальным финансовым данным или нарушение экономической стабильности.
Поставщики услуг здравоохранения: получение личных сведений о здоровье и данных исследований.
Технологические компании: получение интеллектуальной собственности и проприетарных технологий.
Секторы критической инфраструктуры: в том числе энергетика, транспорт и связь, где сбои могут приводить к широкомасштабным последствиям.

Известные группы продолжительных атак повышенной сложности
Специалисты по кибербезопасности обнаружили и отслеживают несколько групп APT. Вот несколько групп, сведения о которых распространяются наиболее активно:

APT28 (Fancy Bear) — эта группа, якобы связанная с российской военной разведкой, подозревается в организации кибератак на государственные и военные организации. Для проникновения в сети используются целенаправленные атаки и вредоносные программы.
APT29 (Cozy Bear) — эта группа, якобы связанная с российскими разведывательными службами, подозревается в проведении кибератак, направленных на дипломатические и государственные структуры. При этом используются усовершенствованные вредоносные программы и скрытые методы кражи данных.
Lazarus Group — эта группа, связываемая с КНДР, подозревается в проведении ряда операций разных типов, от финансовых краж до атак, направленных на нарушение деятельности СМИ и отрасли развлечений.

Примеры продолжительных атак повышенной сложности
Группы APT провели ряд сложных кибератак в различных секторах. Приведенные ниже примеры дают возможность оценить методы атак и их последствия.

Кибератака, направленная на одну из ведущих страховых компаний в США: в марте 2021 года одна из ведущих страховых компаний в США подверглась атаке программ-шантажистов. В результате этой атаки была нарушена работа нескольких служб. Злоумышленники использовали программы-шантажисты для шифрования файлов и кражи данных. Было затронуты данные свыше 75 тыс. человек. Для устранения этой утечки потребовалось дорогостоящее многомесячное исследование, юридическая реакция и меры по исправлению, включающие защиту затронутых систем и уведомление затронутых клиентов.
Компрометация энергетической инфраструктуры страны: в 2023 году скоординированная атака была направлена на 22 компании в энергетическом секторе Дании. Для этого была использовала уязвимость брандмауэра. Злоумышленники получили несанкционированный доступ к промышленным системам управления нескольких компаний, что привело к серьезным нарушениям в работе.
Взлом ИТ-служб крупной организации здравоохранения: в феврале 2024 года мощная кибератака была нацелена на подразделение ИТ-служб в сфере здравоохранения. Эта атака привела к нарушению ухода за пациентами и к краже защищенной медицинской информации. Злоумышленники применили программы-шантажисты для шифрования файлов и кражи данных. Были затронуты данные приблизительно 190 млн человек.

Эти примеры подтверждают постоянную опасность угроз APT и их развитие. Следовательно, важно внедрять надежные меры кибербезопасности во всех областях.

Обнаружение продолжительных атак повышенной сложности и реагирование на них

Атаки кибербезопасности APT маскируются под обычную работу сети, поэтому их непросто обнаружить, используя стандартные средства безопасности. Впрочем, у таких атак есть и характерные признаки: их можно заметить, если знать, где их следует искать.

Индикаторы компрометации (IOC)
IOC — это следы, которые остаются после вредоносных действий. Для атак APT такие индикаторы могут включать следующие:

Необычные шаблоны входа в систему, например доступ из необычных мест или в необычное время.
Непредвиденный сетевой трафик между внутренними системами и внешними серверами.
Наличие неизвестных или подозрительных файлов, сценариев или учетных записей пользователей.
Использование инструментов, которыми обычно пользуются злоумышленники, например средства создания дампов учетных данных или платформы для горизонтального перемещения по сетям.
Признаки кражи данных, включая передачу крупных или необоснованных объемов данных наружу.

Если распознать эти признаки на ранних этапах, то сокращается время пребывания злоумышленника в вашей среде, поэтому ограничивается и возможный ущерб.

Стратегии обнаружения продолжительных атак повышенной сложности
Для обнаружения продолжительных атак повышенной сложности требуется подходящее сочетание технологий, процессов и пользователей. Эффективные стратегии:

Выявление аномалий — отслеживание действий, отклоняющихся от установленных базовых показателей (это может быть, к примеру, резкий рост количества обращений к данным или необычные административные действия).
Аналитика киберугроз — использование актуальных сведений об угрозах, о самых современных методиках атак, инструментах и профилях злоумышленников.
Мониторинг конечных точек и сетей — развертывание средств, предоставляющих сведения о состоянии конечных точек, облачных служб и сетевого трафика. Такие решения помогают обнаруживать признаки компрометации в реальном времени.
Упреждающая охота на киберугрозы — активный поиск скрытых угроз в вашей среде, даже если оповещения не появляются.

Вместе эти подходы укрепляют вашу способность обнаруживать атаки APT на ранних этапах, до возникновения серьезного ущерба.

Реагирование на продолжительные атаки повышенной сложности
Если кибератака APT обнаружена, важно быстро принять меры и выполнить необходимые действия, чтобы восстановить контроль над системой и устранить уязвимости, а также проанализировать ситуацию для укрепления состояния безопасности в будущем.

Изоляция затронутых систем и учетных записей для предотвращения дальнейшего распространения атаки.
Исследование журналов, трафика и поведения систем для понимания перемещения, целей и методов злоумышленников.
Исправление путем удаления вредоносных программ, устранения уязвимостей и восстановления затронутых систем.
Восстановление и анализ: возобновление нормальной работы и проведение тщательного разбора инцидента для укрепления защиты и предотвращения дальнейших атак.

Предотвращение продолжительных атак повышенной сложности

Для предотвращения атак APT недостаточно использовать какой-либо одиночный инструмент или продукт. Нужен многоуровневый подход к безопасности. Группы APT используют самые разные тактики для проникновения в сети и закрепления в них, поэтому для защиты необходимо устранить уязвимости, связанные с пользователями, процессами и технологиями.

Обучение персонала распознаванию распространенных направлений атак и реагированию на атаки.
Внедрение политик и процедур, дающих возможность снизить подверженность риску и повысить устойчивость систем.
Применение современных средств безопасности, которые обеспечивают видимость, обнаружение и защиту для всей цифровой среды.

Службы управляемого обнаружения и реагирования (MDR) представляют собой сочетание технологий и знаний экспертов.

Рекомендации по предотвращению продолжительных атак повышенной сложности
Не существует решения, обеспечивающего абсолютно надежную защиту, но перечисленные ниже рекомендации помогают существенно снизить вероятность атак APT и ограничить их воздействие.

Регулярные обновления программного обеспечения и управление исправлениями: своевременно обновляйте системы, приложения и встроенное ПО, чтобы устранять известные уязвимости. Многие атаки APT основаны на использовании уязвимостей, которые не были вовремя исправлены.
Обучение сотрудников защите от фишинга: научите сотрудников выявлять подозрительные электронные письма и сообщения. Это особенно важно для попыток целенаправленного фишинга, когда сообщения злоумышленников адресованы конкретным пользователям и содержат индивидуально подобранные приманки.
Сегментация сети и доступ с минимальными необходимыми привилегиями: чтобы ограничить распространение атаки, сегментируйте сети и предоставляйте пользователям только такой уровень доступа, который необходим для выполнения работы. За счет этого затрудняется горизонтальное перемещение злоумышленников.
Мониторинг и планирование реагирования на инциденты: используйте непрерывный мониторинг, чтобы обнаруживать подозрительные действия. Подготовьте отработанный план реагирования на инциденты. Благодаря этому ваша команда будет знать, как быстро среагировать в случае обнаружения атаки.

Предотвращение продолжительных атак повышенной сложности заключается не только в устранении риска. Задача — затруднить работу злоумышленников и повысить вероятность раннего обнаружения атаки. Используя многоуровневый подход, организации могут реализовать стратегию глубокой защиты, способной обеспечить безопасность критически безопасных ресурсов даже при самых сложных атаках.

Новые тенденции продолжительных атак повышенной сложности

Группы APT постоянно совершенствуются. По мере того, как защитники улучшают используемые инструменты и процессы, злоумышленники также совершенствуют свои методы и технологии, стараясь найти новые способы обходить защитные меры и сохранять доступ.

Новые методы APT
Современные злоумышленники, проводящие продолжительные атаки повышенной сложности, все чаще применяют смешанную тактику, в которой эксплойты сочетаются с социотехникой и атаками на цепочки поставок. Вот некоторые новые тенденции:

Усовершенствованные фишинговые кампании, в которых используются подробные личные или организационные данные для создания правдоподобных приманок.
Использование "подножного корма": так называется подход, при котором злоумышленники используют доброкачественные инструменты и процессы, уже присутствующие в атакованной среде, чтобы избежать обнаружения.
Большее внимание уделяется компрометации цепочки поставок: в качестве вектора начального доступа используются сторонние поставщики или обновления программного обеспечения.

Из-за таких изменений становится сложнее обеспечивать безопасность, используя только традиционные средства защиты, такие как антивирусные программы или защиту периметра.

Обнаружение и предотвращение угроз с помощью новых технологий
Передовые технологии играют важную роль как при проведении кибератак, так и при защите от них.

Квантовые вычисления пока находятся на раннем этапе практического применения. Эта технология способна оказать серьезное влияние на стандарты шифрования, что со временем может повлиять на методики, применяемые злоумышленниками для кражи данных или компрометации систем.
Объединенное решение SecOps сочетает решение для управления информационной безопасностью и событиями безопасности (SIEM) с решением для расширенного обнаружения и реагирования (XDR), чтобы предоставить командам единую мощную платформу, способную обнаруживать угрозы и реагировать на них.
Средства ИИ и машинного обучения уже помогают обнаруживать и предотвращать атаки APT. Применение ИИ для кибербезопасности помогает выявлять закономерности, обнаруживать аномалии и быстрее реагировать на угрозы. Впрочем, ИИ помогает и злоумышленникам, например, путем частичной автоматизации кампаний или при создании более правдоподобного фишингового контента.

Технологии как на стороне атакующих, так и на стороне защищающихся постоянно развиваются, но главную роль в защите от атак играет человеческий фактор. Команды безопасности должны быть в курсе событий и должны иметь возможность адаптироваться к новым угрозам.

Продолжительные атаки повышенной сложности, направленные на устройства Интернета вещей (IoT) и облачные среды
Направления продолжительных атак повышенной сложности постоянно расширяются. Чем больше организаций используют устройства Интернета вещей и облачные службы, тем больше потенциальных целей у злоумышленников.

Устройства IoT зачастую не обладают надежными средствами защиты и могут использоваться в качестве точек входа в более крупные сети.
Облачные среды: по мере переноса рабочих нагрузок и данных в облако злоумышленники разрабатывают новые методики для компрометации облачных удостоверений, неправильно настроенных ресурсов и платформ SaaS.

Для защиты от таких атак необходимо расширять меры безопасности, чтобы они охватывали не только системы в локальной среде, но и все компоненты цифровой экосистемы.

Решения Microsoft Security для защиты от продолжительных атак повышенной сложности

Microsoft Defender XDR помогает организациям обнаруживать, исследовать и устранять продолжительные атаки повышенной сложности в рамках всей цифровой среды. Microsoft Defender XDR объединяет сигналы с конечных точек, из удостоверений, электронной почты, облачных приложений и других ресурсов. За счет этого формируется единое представление об угрозах и устраняется изолированность систем, поэтому команды безопасности могут быстрее принимать нужные меры.

Для более надежной защиты от атак APT и укрепления безопасности ознакомьтесь с единым решением Microsoft Defender XDR и Microsoft Security SecOps.

Ресурсы

Подробнее о Microsoft Security

Мужчины показывают ноутбук двум женщинам

Продукт

Защитите все ваше предприятие с помощью Microsoft Defender XDR

Защищайте от кибератак свои конечные точки, удостоверения, облачные приложения и данные.

Подробнее

Решение

Объединенные операции по обеспечению безопасности

Используйте комплексную платформу операций по обеспечению безопасности, чтобы эффективно противостоять киберугрозам.

Подробнее

Женщины смотрят на мобильный телефон и улыбаются

Портал защиты от угроз

Новости кибербезопасности и ИИ

Узнайте о последних трендах и рекомендациях в области защиты от киберугроз и ИИ для обеспечения кибербезопасности.

Получить новейшие ресурсы

Отчет аналитики

Отчет о цифровой защите 2024

Читайте новейшие выводы аналитиков об общей картине киберугроз, а также с рекомендациями специалистов из корпорации Майкрософт.

Получить отчет

Продолжительная атака повышенной сложности (APT) — это длительная целевая кибератака, которую совершают злоумышленники, обладающие серьезной финансовой поддержкой и часто связываемые с какими-либо странами или организованными группами. Задача продолжительных атак повышенной сложности — проникновение в определенные организации и поддержание постоянного несанкционированного доступа к конфиденциальным системам или данным, зачастую для шпионажа, кражи данных или нарушения работы. В атаках APT, в отличие от случайных атак, применяются самые передовые инструменты и методики, в том числе вредоносные программы индивидуальной разработки, социотехника и эксплойты нулевого дня. Благодаря этому злоумышленникам удается избегать обнаружения и достигать поставленных целей.
Один из известных примеров продолжительной атаки повышенной сложности был зафиксирован в феврале 2024 года, когда были взломаны ИТ-службы одной крупной организации в сфере здравоохранения. Эта кибератака нарушила предоставление медицинских услуг пациентам и привела к краже защищенной медицинской информации. Злоумышленники применили программы-шантажисты для шифрования файлов и кражи данных. Были затронуты данные приблизительно 190 млн человек.
Продолжительные атаки повышенной сложности (APT) — это разновидность кибератак, а расширенная защита от угроз (ATP) — это совокупность инструментов и стратегий, используемых для обнаружения таких атак и для защиты от них. Понятие "APT" описывает методы злоумышленников, основное внимание уделяется долгосрочным и целенаправленным операциям. Понятие "ATP", напротив, включает решения безопасности, такие как Microsoft Defender, которые помогают организациям выявлять такие атаки, исследовать их и реагировать на них. Эти акронимы похожи один на другой, но они обозначают противоположные стороны в сфере кибербезопасности.
Главная цель продолжительной атаки повышенной сложности — скрытое получение и сохранение долгосрочного несанкционированного доступа к целевым системам или данным. Злоумышленники часто стремятся украсть конфиденциальные сведения, проводить шпионаж, нарушать работу или выводить из строя критическую инфраструктуру. В отличие от быстрых случайных атак кампании APT всегда проводятся целенаправленно, с тщательным планированием, чтобы добиться постоянного присутствия в атакованной среде и стратегического влияния с течением времени.