Kaj je napredna dolgotrajna grožnja (APT)?

Udeleženci APT-jev so zelo motivirani in pogosto podprti z znatnimi finančnimi viri. Vzamejo si čas, da preučijo infrastrukturo tarče, prepoznajo šibke točke in razvijejo prilagojene strategije za zlorabo. Ko so enkrat notri, želijo ostati neopaženi, medtem ko se premikajo po sistemih bočno in zbirajo podatke ali pripravljajo širše motenje. Ta raven prikritosti še posebej otežuje zgodnje zaznavanje in odzivanje.

APT-ji se odvijajo v usklajenih fazah, zasnovanih za največji učinek in za izogibanje zaznavanju.
 

• Izvidništvo in načrtovanje: skupine APT pred napadom obsežno raziščejo tarče. To vključuje zbiranje podrobnosti o sistemih, osebju, dobaviteljih in morebitnih ranljivostih, pogosto z uporabo odprtokodnih podatkov ali orodij za pregledovanje.
  
  
• Prvotni vdor: napadalci vdrejo v omrežje z metodami, kot so e-poštna sporočila z lažnim predstavljanjem, izkoriščanje znanih ali neznanih ranljivosti (npr. na ničelni dan) ali uporabo ukradenih poverilnic. Cilj je, da se določi prva vstopna točka.
  
  
• Vzpostavljanje izhodiščne točke: ko so napadalci notri, namestijo prilagojeno zlonamerno programsko opremo, vzpostavijo t.i. stranska vrata, ali pa ustvarijo nove uporabniške račune, da si zagotovijo stalen dostop. To jim omogoča, da se lahko vrnejo tudi, ko se ena dostopna točka zapre.
  
  
• Privilegij posredovanja: za dostop do občutljivih sistemov ali podatkov si akterji APT posredujejo svoje pravice pogosto tako, da izkoristijo napačne konfiguracije sistema, kradejo skrbniške poverilnice ali izkoriščajo ranljivosti posredovanja pravic.
  
  
• Bočno gibanje: napadalci se premikajo po omrežju, premikajo se iz sistema v sistem in preslikavajo okolje, zbirajo podatke in prepoznavajo uporabna sredstva. Ta faza pogosto zaobide notranje zaščite in varnostna orodja.
  
  
• Nepooblaščeno filtriranje podatkov ali motnje: ko so ustrezno postavljene, lahko skupine APT tiho ukradejo občutljive podatke, kot so intelektualna lastnina, finančne evidence ali zaupne komunikacije. Prav tako se lahko pripravijo na bolj moteče dejavnosti, vključno z uvedbo izsiljevalske programske opreme ali uvedbo porazdeljenega napada za zavrnitve storitve (DDoS).
  
  
• Ohranjanje prikritosti in vztrajnosti: Med celotnim postopkom napadalci nenehno prilagajajo svoje tehnike, da ostanejo skriti. Lahko rotirajo strežnike za ukaze in nadzor (C2), uporabljajo šifrirano komunikacijo in posodabljajo zlonamerno programsko opremo, da se izognejo zaznavanju.

Skupine APT se za izvajanje teh faz zanašajo na več vektorjev napadov, vključno s sledečimi:
 

• E-poštna sporočila s ciljanim lažnim predstavljanjem, ki imajo za tarčo določene zaposlene.
• Prilagojena zlonamerna programska oprema, zasnovana za določeno okolje.
• Kompleti za zlorabo pomanjkljivosti, ki avtomatizirajo dele procesa napada.
• Izkoriščanje ranljivosti na ničelni dan, ki cilja na nepopravljene ranljivosti.
• Ukazni in nadzorni strežniki za oddaljeno upravljanje.
• Taktike socialnega inženiringa za manipulacijo notranjih uporabnikov.
• Napadi dobavne verige, ki ogrozijo zaupanja vredne tretje osebe.

Napadi na kibernetsko varnost APT so zasnovani tako, da se spojijo z običajno dejavnostjo omrežja, zato jih je težko zaznati s standardnimi varnostnimi orodji. Vendar pa obstajajo opozorilni znaki – če veste, kje jih iskati.

Kazalniki ogroženosti (IoC)
IOC-ji so sledi, ki jih za sabo pusti zlonamerna dejavnost. Pri napadih APT lahko te sledi vključujejo:
 

• Nenavadne vzorce prijave, kot je dostop z nepričakovanih lokacij ali ob nenavadnih urah.
• Nepričakovan promet med notranjimi sistemi in zunanjimi strežniki.
• Prisotnost neznanih ali sumljivih datotek, skriptov ali uporabniških računov. 
• Uporaba orodij, ki so običajno povezana z napadalci, kot so t.i. orodja za pridobivanje informacij o poverilnicah ali metode, kako krmariti po omrežju po vdoru z bočnim gibanjem.
• Znaki nepooblaščenega filtriranja podatkov, vključno z velikimi ali nepojasnjenimi odhodnimi prenosi.

Zgodnje prepoznavanje teh signalov lahko skrajša čas, ki ga ima napadalec v vašem okolju, in zmanjša morebitno škodo.

Strategije za zaznavanje dejavnosti APT
Za zaznavanje APT-jev potrebujete kombinacijo tehnologije, procesov in ljudi. Učinkovite strategije vključujejo:
 

• Odkrivanje anomalij–nadzorovanje dejavnosti, ki odstopa od uveljavljenih osnovnih vrednosti, kot so skoki v dostopanju do podatkov ali nenavadna skrbniška dejanja.
  
  
• Obveščanje o grožnjah–uporaba posodobljenih virov obveščanja o grožnjah za sprotno spremljanje o najnovejših tehnikah napadov, orodjih in profilih akterjev groženj.
  
  
• Nadzor končne točke in omrežja–uvajanje orodij, ki zagotavljajo vidljivost v končnih točkah, storitvah v oblaku in omrežnem prometu, s tem pa pomagajo pri zaznanju znakov ogroženosti v realnem času.
  
  
• Proaktivni lov na kibernetske grožnje – aktivno iskanje skritih groženj v vašem okolju, tudi če ni bilo sproženo nobeno opozorilo.

Skupaj ti pristopi okrepijo vašo sposobnost, da dejavnost APT prepoznate zgodaj, preden ta povzroči trajno škodo.

Odzivanje na napad APT
Če je zaznan napad kibernetske varnosti APT, je ključnega pomena, da ukrepate hitro in upoštevate ustrezne korake za vnovično pridobitev nadzora, zapiranje varnostnih vrzeli in učenje iz dogodka, da ustvarite odpornejše stanje varnosti.
 

• Omejevanje: osamite prizadete sisteme ali račune, da preprečite nadaljnje širjenje.
  
  
• Preiskava: analizirajte dnevnike, promet in delovanje sistema, da boste razumeli premike, cilje in metode napadalca.
  
  
• Odpravljanje težav: odstranite zlonamerna orodja, odpravite ranljivosti s popravki in obnovite prizadete sisteme.
  
  
• Obnovitev in pregled: nadaljujte z običajnimi postopki, pri tem pa izvedite temeljit pregled po incidentu, da okrepite zaščito in preprečite ponovitev.

Skupine APT se nenehno razvijajo. Ko branitelji napadov izboljšujejo svoja orodja in procese, napadalci prilagajajo svoje tehnike in iščejo nove načine, kako zaobiti varnostne kontrole ter ohranitev dostopa.

Nove tehnike APT
Sodobni akterji APT vse bolj združujejo taktike, ki kombinirajo tehnične zlorabe z napadi socialnega inženiringa in napadi dobavne verige, da bi dosegli svoje cilje. Nekateri trendi, ki se pojavljajo, vključujejo:
 

• Bolj dovršene akcije z lažnim predstavljanjem, ki uporabljajo podrobne osebne ali organizacijske podatke za ustvarjanje vab.
  
  
• T.i. tehnike »living-off-the-land«, kjer napadalci uporabljajo legitimna orodja in procese, ki so že prisotni v okolju, da se izognejo zaznavanju.
   
• Večja odvisnost od potencialne ogroženosti v dobavni verigi, pri kateri postanejo ponudniki tretjih oseb ali posodobitve programske opreme vektor za začetni dostop.

Zaradi teh premikov se je težje zanašati samo na tradicionalno obrambo, kot sta protivirusna zaščita ali varnost, ki temelji na osnovi območja.

Zaznavanje in preprečevanje z novimi tehnologijami
Nove tehnologije igrajo vlogo tako v napadu kot tudi pri obrambi.
 

• Kvantno računalništvo je v zgodnjih fazah praktične uporabe. Ima potencial, da zmoti standarde šifriranja, kar bi lahko sčasoma vplivalo na to, kako akterji APT pristopajo h kraji podatkov ali ogrožanju sistema.
  
  
• Poenotena rešitev SecOps združuje rešitev za upravljanje varnostnih informacij in dogodkov (SIEM) z razširjeno rešitvijo zaznavanja in odzivanja (XDR) za spodbujanje skupin z izboljšanimzaznavanjem groženj in odzivanjem nanje na eni platformi.
  
  
• UI in strojno učenje že izboljšujeta zaznavanje in preprečevanje APT. Z uporabo UI za kibernetsko varnost lahko zaznate vzorce in anomalije in se hitreje odzovete na grožnje, vendar pa hkrati napadalcem omogočite nove zmogljivosti, kot so avtomatizacija delov njihovih akcij ali ustvarjanje bolj prepričljive vsebine z lažnim predstavljanjem.

Ker tehnologija na obeh straneh še naprej napreduje, je človeški element še vedno ključnega pomena za zaščito pred napadi. Varnostne skupine morajo biti obveščene in prilagodljive, da ostanejo v koraku z razvijajočimi se grožnjami.

APT, usmerjeni v internet stvari (IoT) in okolja v oblaku
Tarča napada APT-jev se širi. Ko več organizacij sprejema IoT in storitve v oblaku, napadalci širijo svoje cilje.
 

• Naprave IoT: Pogosto brez močnih varnostnih kontrolnikov lahko te naprave služijo kot preproste vstopne točke v večja omrežja.
  
  
• Okolja v oblaku: ker se delovne obremenitve in podatki selijo v oblak, akterji APT razvijajo nove tehnike za ogrožanje identitet v oblaku, napačno konfiguriranih virov in platform SaaS.

Zaščita pred temi trendi pomeni širjenje stanja varnosti tako, da ne zajema le lokalnih sistemov na mestu uporabe, ampak tudi vsak del digitalnega ekosistema.