Čo je rozšírená trvalá hrozba (APT)?

Prehľad APT

Rozšírená trvalá hrozba je dlhodobý cielený kybernetický útok, ktorého cieľom je preniknúť do organizácie a zostať skrytý čo najdlhšie. Na rozdiel od plošných útokov, ktoré hľadajú jednoduché ciele, sú APT premyslené a osobné. Útočníci si ciele vyberajú starostlivo a často sa zameriavajú na hodnotné subjekty, ako sú vládne agentúry, kritická infraštruktúra alebo veľké podniky. Postupujú metodicky, aby získali prístup a udržali si ho.

Cieľom APT je nenápadne monitorovať aktivitu, odcudziť citlivé údaje alebo narušiť prevádzku bez toho, aby sa obeť upozornila. Tieto kampane sa často odohrávajú počas týždňov, mesiacov alebo dokonca rokov. Vzhľadom na svoju nenápadnosť a zložitosť sa APT môžu ťažko zisťovať a po zakorenení ešte ťažšie obmedzovať.

Kľúčové poznatky

APT sú dlhodobé cielené útoky, ktoré môžu zostať skryté v organizáciách celé mesiace alebo roky.
Útočníci používajú pokročilé nástroje, ako sú zneužitia typu 0-day, vlastný malvér a sociálne inžinierstvo, aby obišli obranu.
Kampane APT prebiehajú v koordinovaných fázach, ako sú počiatočný prístup, laterálny pohyb a narušenie alebo krádež údajov.
Medzi bežné ciele patria štátna správa, financie, zdravotníctvo, technologický sektor a sektory kritickej infraštruktúry.
Zisťovanie a reakcia si vyžadujú koordinované stratégie na zisťovanie anomálií, spravodajstvo o hrozbách, vyšetrovanie a nápravu.
Osvedčené postupy, ako sú opravy, školenia zamestnancov a segmentácia siete, pomáhajú znižovať riziko APT.

Čo potrebujete vedieť o APT

Na ochranu organizácie pred dlhodobými cielenými útokmi je nevyhnutné porozumieť APT a tomu, ako fungujú. Tieto hrozby obranu nielen obchádzajú. Usadia sa vo vašom prostredí a zostanú tam.

APT sa od iných typov útokov odlišujú kombináciou zamerania, sofistikovanosti a trvania. Tieto vlastnosti z nich robia jedny z najnáročnejších hrozieb, ktoré musia bezpečnostné tímy zvládať:

Pokročilé: Útočníci používajú špecializované nástroje a taktiky navrhnuté na obchádzanie tradičných bezpečnostných kontrol, napríklad zero-day zraniteľnosti, vlastný malvér a viacfázové operácie.
Pretrvávajúce: APT nie sú jednorazové udalosti. Útočníci neustále pracujú na udržaní prístupu a používajú celý rad techník, aby sa vyhli odhaleniu a pri narušení si obnovili kontrolu.
Hrozba: Tieto kampane uskutočňujú dobre financovaní a zruční protivníci. Mnohé sú spojené so štátom podporovanými skupinami alebo rozsiahlymi zločineckými sieťami, ktoré konajú s jasným zámerom a dlhodobými cieľmi.

Pochopením týchto vlastností môžu vedúci pracovníci v oblasti zabezpečenia a IT efektívnejšie posudzovať riziká, budovať odolnú obranu a skracovať čas, ktorý útočníci strávia v ich prostrediach.

Ako APT fungujú

Aktéri APT sú vysoko motivovaní a často ich podporujú významné finančné zdroje. Venujú čas štúdiu infraštruktúry cieľa, identifikácii slabých miest a vývoju vlastných stratégií na ich zneužitie. Po preniknutí sa snažia zostať neodhalení, kým sa laterálne presúvajú naprieč systémami, zhromažďujú údaje alebo sa pripravujú na rozsiahlejšie narušenie. Táto úroveň nenápadnosti robí včasné zistenie a reakciu mimoriadne náročnými.

APT prebiehajú v koordinovaných fázach navrhnutých tak, aby maximalizovali vplyv a zabránili odhaleniu.

Prieskum a plánovanie: Pred spustením útoku skupiny APT vykonávajú rozsiahly prieskum cieľa. Zahŕňa to zhromažďovanie podrobností o systémoch, personáli, dodávateľoch a potenciálnych zraniteľnostiach, často pomocou otvorených spravodajských zdrojov alebo skenovacích nástrojov.
Počiatočná kompromitácia: Útočníci preniknú do siete metódami, ako sú e-maily s neoprávneným získavaním údajov, zneužitie známych alebo neznámych (zero-day) zraniteľností alebo použitie odcudzených prihlasovacích údajov. Cieľom je vytvoriť prvý vstupný bod.
Vytvorenie oporného bodu: Po preniknutí útočníci nasadia vlastný malvér, nainštalujú zadné vrátka alebo vytvoria nové používateľské kontá, aby si zabezpečili trvalý prístup. Tým si zabezpečia možnosť návratu, aj keď sa jeden prístupový bod zatvorí.
Zvyšovanie oprávnení: Na prístup k citlivým systémom alebo údajom sa aktéri APT snažia zvýšiť svoje oprávnenia, často zneužitím nesprávnych konfigurácií systému, odcudzením správcovských prihlasovacích údajov alebo zneužitím zraniteľností umožňujúcich zvýšenie oprávnení.
Laterálny pohyb: Útočníci sa pohybujú naprieč sieťou, prechádzajú zo systému do systému, aby zmapovali prostredie, zhromaždili údaje a identifikovali hodnotné aktíva. Táto fáza často zahŕňa obchádzanie interných obranných mechanizmov a bezpečnostných nástrojov.
Exfiltrácia údajov alebo narušenie: Po zaujatí pozície môžu skupiny APT nenápadne odcudziť citlivé údaje, napríklad duševné vlastníctvo, finančné záznamy alebo dôvernú komunikáciu. Môžu sa pripraviť aj na rušivejšie aktivity vrátane nasadenia ransomvéru alebo spustenia útoku distribuovaným odmietnutím služby (DDoS).
Zachovanie nenápadnosti a pretrvávania: Počas celého procesu útočníci neustále prispôsobujú svoje techniky, aby zostali skrytí. Môžu striedať servery príkazov a riadenia (C2), používať šifrovanú komunikáciu a aktualizovať malvér, aby sa vyhli odhaleniu.

Skupiny APT sa pri realizácii týchto fáz spoliehajú na celý rad vektorov útoku vrátane:

Cielené e-maily s neoprávneným získavaním údajov zamerané na konkrétnych zamestnancov.
Vlastný malvér vytvorený pre konkrétne prostredie.
Súpravy zneužití, ktoré automatizujú časti procesu útoku.
Zneužitia typu 0-day zamerané na neopravené zraniteľnosti.
Servery príkazov a riadenia na vzdialenú správu.
Taktiky sociálneho inžinierstva na manipuláciu interných osôb.
Útoky na dodávateľský reťazec, ktoré kompromitujú dôveryhodné tretie strany.

Bežné ciele a príklady z praxe

Skupiny rozšírených trvalých hrozieb patria medzi najnebezpečnejších protivníkov v oblasti kybernetickej bezpečnosti. Tieto skupiny podporované štátmi alebo dobre financovanými organizáciami vedú dlhodobé cielené kampane zamerané na špionáž, krádež údajov alebo narušenie. Ich operácie často trvajú mesiace alebo roky a zameriavajú sa na sektory dôležité pre národnú a ekonomickú bezpečnosť.

Bežné ciele skupín APT
Aktéri APT sa zvyčajne zameriavajú na veľké organizácie alebo inštitúcie.

Vládne a obranné organizácie: Hľadajú spravodajské informácie a strategické výhody.
Finančné inštitúcie: Snažia sa získať prístup k citlivým finančným údajom alebo narušiť ekonomickú stabilitu.
Poskytovatelia zdravotnej starostlivosti: Zameriavajú sa na osobné zdravotné informácie a výskumné údaje.
Technologické spoločnosti: Usilujú sa o duševné vlastníctvo a proprietárne technológie.
Sektory kritickej infraštruktúry: Vrátane energetiky, dopravy a telekomunikácií, kde môžu mať narušenia rozsiahle dôsledky.

Významné skupiny APT
Odborníci na kybernetickú bezpečnosť identifikovali a sledujú niekoľko skupín APT. Medzi najvýznamnejšie skupiny patria:

APT28 (Fancy Bear) – Predpokladá sa, že táto skupina je prepojená s ruskou vojenskou rozviedkou. Zameriavala sa na vládne a vojenské organizácie a na infiltráciu sietí používala cielené neoprávnené získavanie údajov a malvér.
APT29 (Cozy Bear) – Skupina APT29 spájaná s ruskými spravodajskými službami sa zameriavala na diplomatické a vládne subjekty a na exfiltráciu údajov používala sofistikovaný malvér a nenápadné techniky.
Skupina Lazarus – Skupina Lazarus pripisovaná Severnej Kórei vykonávala operácie od finančných krádeží až po rušivé útoky na mediálny a zábavný sektor.

Prípadové štúdie APT
Skupiny rozšírených trvalých hrozieb vykonali v rôznych sektoroch množstvo sofistikovaných kybernetických útokov. Nasledujúce vysoko profilované príklady ilustrujú ich metódy a vplyv.

Kybernetický útok na poprednú poisťovňu v USA: V marci 2021 sa popredná poisťovňa so sídlom v USA stala terčom ransomvérového útoku, ktorý narušil viaceré služby. Útočníci použili ransomvér na šifrovanie súborov a exfiltráciu údajov, čo ovplyvnilo viac ako 75 000 osôb. Narušenie si vyžiadalo nákladné niekoľkomesačné vyšetrovanie, právnu reakciu a nápravné opatrenia na zabezpečenie zasiahnutých systémov a informovanie dotknutých zákazníkov.
Kompromitácia energetickej infraštruktúry krajiny: V roku 2023 koordinovaný útok zameraný na 22 spoločností v dánskom energetickom sektore zneužil zraniteľnosť brány firewall. Útočníci získali neoprávnený prístup k priemyselným riadiacim systémom niektorých spoločností, čo viedlo k významným prevádzkovým narušeniam.
Narušenie IT služieb veľkej zdravotníckej organizácie: Vo februári 2024 sa významný kybernetický útok zameral na jednotku IT služieb v zdravotníctve, narušil starostlivosť o pacientov a viedol ku krádeži chránených zdravotných informácií. Útočníci použili ransomvér na šifrovanie súborov a exfiltráciu údajov, čo zasiahlo odhadom 190 miliónov ľudí.

Tieto prípady ukazujú pretrvávajúcu a vyvíjajúcu sa povahu hrozieb APT a zdôrazňujú potrebu robustných opatrení kybernetickej bezpečnosti proti APT vo všetkých sektoroch.

Zisťovanie APT a reakcia na ne

Kybernetické útoky APT sú navrhnuté tak, aby splývali s bežnou sieťovou aktivitou, čo sťažuje ich zistenie štandardnými bezpečnostnými nástrojmi. Existujú však varovné signály – ak viete, kde ich hľadať.

Indikátory kompromitácie (IoC)
IOC sú stopy, ktoré za sebou zanecháva škodlivá aktivita. Pri útokoch APT môžu zahŕňať:

Nezvyčajné vzory prihlasovania, napríklad prístup z neočakávaných lokalít alebo v neobvyklých hodinách.
Neočakávanú sieťovú komunikáciu medzi internými systémami a externými servermi.
Prítomnosť neznámych alebo podozrivých súborov, skriptov či používateľských kont.
Používanie nástrojov typicky spájaných s útočníkmi, napríklad nástrojov na získavanie prihlasovacích údajov alebo rámcov na laterálny pohyb.
Znaky exfiltrácie údajov vrátane veľkých alebo nevysvetlených odchádzajúcich prenosov.

Včasné rozpoznanie týchto signálov môže skrátiť čas útočníka vo vašom prostredí a znížiť potenciálne škody.

Stratégie na zisťovanie aktivít APT
Zisťovanie APT si vyžaduje kombináciu technológií, procesov a ľudí. Medzi účinné stratégie patria:

Zisťovanie anomálií – monitorovanie aktivity, ktorá sa odchyľuje od stanovených základných hodnôt, napríklad prudké nárasty prístupu k údajom alebo nezvyčajné správcovské akcie.
Spravodajstvo o kybernetických hrozbách – používanie aktuálnych informačných kanálov o hrozbách, aby ste boli informovaní o najnovších technikách útokov, nástrojoch a profiloch aktérov hrozieb.
Monitorovanie koncových bodov a siete – nasadenie nástrojov, ktoré poskytujú prehľad v rámci koncových bodov, cloudových služieb a sieťovej komunikácie a pomáhajú v reálnom čase zisťovať príznaky kompromitácie.
Proaktívne vyhľadávanie kybernetických hrozieb – aktívne hľadanie skrytých hrozieb vo vašom prostredí aj vtedy, keď sa nespustili žiadne výstrahy.

Spoločne tieto prístupy posilňujú vašu schopnosť včas rozpoznať aktivitu APT skôr, než spôsobí trvalé škody.

Reakcia na útok APT
Ak sa zistí kybernetický útok APT, je nevyhnutné konať rýchlo a postupovať podľa príslušných krokov na opätovné získanie kontroly, odstránenie bezpečnostných medzier a poučenie sa z udalosti, aby sa vybudovala odolnejšia bezpečnostná pozícia.

Obmedzenie: Izolujte zasiahnuté systémy alebo kontá, aby sa zabránilo ďalšiemu šíreniu.
Vyšetrovanie: Analyzujte denníky, komunikáciu a správanie systému, aby ste pochopili pohyby, ciele a metódy útočníka.
Náprava: Odstráňte škodlivé nástroje, opravte zneužité zraniteľnosti a obnovte zasiahnuté systémy.
Obnovenie a vyhodnotenie: Obnovte bežnú prevádzku a zároveň vykonajte dôkladné vyhodnotenie po incidente na posilnenie obrany a zabránenie opakovaniu.

Prevencia APT

Prevencia rozšírených trvalých hrozieb si vyžaduje viac než jeden nástroj alebo produkt. Vyžaduje si viacvrstvový prístup k zabezpečeniu. Keďže skupiny APT používajú rôzne taktiky na infiltráciu a pretrvávanie v sieti, obrana proti nim znamená uzatváranie medzier medzi ľuďmi, procesmi a technológiami:

Školenie zamestnancov, aby rozpoznali bežné vektory útoku a vhodne reagovali.
Zavádzanie politík a postupov, ktoré obmedzujú vystavenie riziku a zlepšujú odolnosť.
Používanie aktuálnych bezpečnostných nástrojov, ktoré poskytujú prehľad, zisťovanie a ochranu v celom digitálnom prostredí.

Riešenia, ako sú služby spravovaného zisťovania a reakcie (MDR), ponúkajú kombináciu technológií a ľudskej odbornosti.

Osvedčené postupy na prevenciu APT
Hoci žiadna obrana nie je dokonalá, nasledujúce osvedčené postupy môžu významne znížiť pravdepodobnosť a vplyv útoku APT:

Pravidelné aktualizácie softvéru a správa opráv: Udržiavajte systémy, aplikácie a firmvér aktuálne, aby sa uzavreli známe zraniteľnosti. Mnohé útoky APT uspejú zneužitím neopravených slabín.
Školenie zamestnancov na boj proti neoprávnenému získavaniu údajov: Naučte zamestnancov rozpoznávať podozrivé e-maily a správy, najmä pokusy o cielené neoprávnené získavanie údajov zamerané na jednotlivcov pomocou prispôsobených návnad.
Segmentácia siete a prístup s najmenšími oprávneniami: Obmedzte šírenie útoku segmentáciou sietí a udeľovaním používateľom iba takého prístupu, ktorý potrebujú na svoju prácu. Útočníkom to sťažuje laterálny pohyb.
Monitorovanie a plánovanie reakcie na incidenty: Implementujte nepretržité monitorovanie na zisťovanie podozrivej aktivity a udržiavajte nacvičený plán reakcie na incidenty. Tým sa zabezpečí, že váš tím vie rýchlo konať, ak sa zistí útok.

Prevencia APT nie je o odstránení všetkých rizík. Ide o to zvýšiť náročnosť pre útočníkov, sťažiť im prácu a zvýšiť šancu, že ich zachytíte včas. Vďaka viacvrstvovému prístupu môžu organizácie vytvoriť stratégiu hĺbkovej obrany, ktorá chráni kritické aktíva aj pred sofistikovanými hrozbami.

Nové trendy v oblasti APT

Skupiny APT sa neustále vyvíjajú. Keď obrancovia zlepšujú svoje nástroje a procesy, útočníci prispôsobujú svoje techniky a hľadajú nové spôsoby, ako obísť bezpečnostné kontroly a udržať si prístup.

Nové techniky APT
Moderní aktéri APT čoraz viac kombinujú taktiky a spájajú technické zneužitia so sociálnym inžinierstvom a útokmi na dodávateľský reťazec, aby dosiahli svoje ciele. Medzi nové trendy patria:

Sofistikovanejšie kampane neoprávneného získavania údajov, ktoré používajú podrobné osobné alebo organizačné údaje na vytváranie presvedčivých návnad.
Techniky „living-off-the-land“, pri ktorých útočníci používajú legitímne nástroje a procesy už prítomné v prostredí, aby sa vyhli odhaleniu.
Väčšia závislosť od kompromitácie dodávateľského reťazca, pri ktorej sa dodávatelia tretích strán alebo aktualizácie softvéru stávajú vektorom počiatočného prístupu.

Tieto zmeny sťažujú spoliehanie sa výlučne na tradičnú obranu, ako je antivírus alebo perimetrické zabezpečenie.

Zisťovanie a prevencia pomocou nových technológií
Nové technológie zohrávajú úlohu pri útoku aj obrane.

Kvantová výpočtová technika je v počiatočných fázach praktického využitia. Má potenciál narušiť štandardy šifrovania, čo by nakoniec mohlo ovplyvniť spôsob, akým aktéri APT pristupujú ku krádeži údajov alebo kompromitácii systémov.
Zjednotené riešenie SecOps kombinuje riešenie správy informácií a udalostí zabezpečenia (SIEM) s riešením rozšíreného zisťovania a reakcie (XDR), aby tímom poskytlo vylepšené zisťovanie hrozieb a reakciu na ne na jednej platforme.
AI a strojové učenie už zlepšujú zisťovanie APT a prevenciu pred nimi. Používanie AI na kybernetickú bezpečnosť vám pomáha rozpoznať vzory, zisťovať anomálie a rýchlejšie reagovať na hrozby, no útočníkom zároveň poskytuje nové schopnosti, napríklad automatizovať časti kampaní alebo vytvárať presvedčivejší obsah neoprávneného získavania údajov.

Keďže technológie na oboch stranách sa naďalej vyvíjajú, ľudský faktor zostáva pri obrane proti útokom kľúčový. Bezpečnostné tímy musia zostať informované a prispôsobivé, aby držali krok s vyvíjajúcimi sa hrozbami.

APT zamerané na internet vecí (IoT) a cloudové prostredia
Plocha útoku pre APT sa rozširuje. Keďže čoraz viac organizácií prijíma IoT zariadenia a cloudové služby, útočníci rozširujú svoje ciele.

IoT zariadenia: Keďže často nemajú silné bezpečnostné kontroly, môžu slúžiť ako jednoduché vstupné body do väčších sietí.
Cloudové prostredia: Keď sa pracovné záťaže a údaje presúvajú do cloudu, aktéri APT vyvíjajú nové techniky na kompromitáciu cloudových identít, nesprávne nakonfigurovaných zdrojov a platforiem SaaS.

Obrana proti týmto trendom znamená rozšíriť vašu bezpečnostnú pozíciu nielen na lokálne systémy, ale na každú časť vášho digitálneho ekosystému.

Riešenia zabezpečenia od spoločnosti Microsoft proti APT

Microsoft Defender XDR pomáha organizáciám zisťovať, vyšetrovať a riešiť rozšírené trvalé hrozby v celom digitálnom prostredí. Microsoft Defender XDR spája signály z koncových bodov, identít, e-mailu, cloudových aplikácií a ďalších zdrojov a poskytuje jednotný pohľad na hrozby, čím pomáha bezpečnostným tímom odstraňovať izolované oblasti a rýchlo konať.

Ak chcete posilniť svoju obranu proti APT a urobiť ďalší krok na ceste zabezpečenia, preskúmajte Microsoft Defender XDR a zjednotené riešenie SecOps od zabezpečenia od spoločnosti Microsoft.

Zdroje

Ďalšie informácie o zabezpečení od spoločnosti Microsoft

Muž ukazuje prenosný počítač ďalším dvom ženám

Produkt

Chráňte svoj podnik pomocou riešenia Microsoft Defender XDR

Chráňte svoje koncové body, identity, cloudové aplikácie a údaje pred kybernetickými útokmi.

Ďalšie informácie

Riešenie

Zjednotené bezpečnostné operácie

Predbehnite kybernetické hrozby s komplexnou platformou pre bezpečnostné operácie.

Ďalšie informácie

Žena sa usmieva a pozerá na mobilný telefón

Portál ochrany pred bezpečnostnými hrozbami

Novinky v oblasti kybernetickej bezpečnosti a umelej inteligencie

Spoznajte najnovšie trendy a osvedčené postupy ochrany pred kybernetickými hrozbami a umelej inteligencie pre kybernetickú bezpečnosť.

Získať najnovšie zdroje

Správa spravodajskej služby

Správa o digitálnej obrane v roku 2024

Získajte najnovšie poznatky o prostredí spravodajských hrozieb a pokyny od expertov spoločnosti Microsoft.

Získať správu

Rozšírená trvalá hrozba (APT) je dlhodobý cielený kybernetický útok vykonávaný dobre financovanými útočníkmi, často prepojenými so štátmi alebo organizovanými skupinami. APT sa zameriavajú na infiltráciu konkrétnych organizácií a udržiavanie trvalého neoprávneného prístupu k citlivým systémom alebo údajom, často na účely špionáže, krádeže alebo narušenia. Na rozdiel od oportunistických útokov používajú APT sofistikované nástroje a taktiky vrátane vlastného malvéru, sociálneho inžinierstva a zneužití typu 0-day, aby sa vyhli odhaleniu a dosiahli svoje ciele.
Jeden známy príklad rozšírenej trvalej hrozby nastal vo februári 2024, keď boli narušené IT služby veľkej zdravotníckej organizácie. Tento kybernetický útok narušil starostlivosť o pacientov a viedol ku krádeži chránených zdravotných informácií. Útočníci použili ransomvér na šifrovanie súborov a exfiltráciu údajov, čo zasiahlo odhadom 190 miliónov ľudí.
Rozšírená trvalá hrozba (APT) je typ kybernetického útoku, zatiaľ čo pokročilá ochrana pred hrozbami (ATP) označuje nástroje a stratégie používané na zisťovanie takýchto hrozieb a obranu proti nim. APT opisuje metódy útočníka so zameraním na dlhodobé cielené operácie. Naproti tomu ATP zahŕňa bezpečnostné riešenia, ako je Microsoft Defender, ktoré pomáhajú organizáciám tieto útoky identifikovať, vyšetrovať a reagovať na ne. Hoci akronymy znejú podobne, predstavujú opačné strany prostredia kybernetickej bezpečnosti.
Hlavným cieľom útoku rozšírenej trvalej hrozby je získať a udržať si dlhodobý neoprávnený prístup k systémom alebo údajom cieľa bez odhalenia. Útočníci sa často snažia odcudziť citlivé informácie, vykonávať špionáž, narušiť prevádzku alebo sabotovať kritickú infraštruktúru. Na rozdiel od rýchlych oportunistických útokov sú APT vysoko cielené a starostlivo naplánované, pričom sa zameriavajú na pretrvávanie a dlhodobý strategický vplyv.