Vad är ett avancerat långvarigt hot (APT)?

Aktörer inom avancerade långvariga hot är mycket motiverade och backas ofta upp av betydande ekonomiska resurser. De tar sig tid att studera ett måls infrastruktur, identifiera svaga punkter och utveckla anpassade strategier för att utnyttja dem. Väl inne strävar de efter att förbli oupptäckta medan de rör sig lateralt mellan system, samlar in data eller förbereder bredare störningar. Den här nivån av diskretion gör det särskilt svårt att identifiera och åtgärda dem på ett tidigt stadium.

Avancerade långvariga hot utspelar sig i koordinerade faser som är utformade för att maximera effekten och undvika upptäckt.
 

• Kartläggning och planering: Innan en attack inleds gör grupperna bakom avancerade långvariga hot omfattande research om målet. Det omfattar insamling av detaljer om system, personal, leverantörer och möjliga säkerhetsluckor, ofta med hjälp av information från öppna källor eller skanningsverktyg.
  
  
• Initial kompromettering: Angriparna bryter sig in i nätverket via metoder som nätfiskemejl, genom att utnyttja kända eller okända (dag noll) sårbarheter eller genom att använda stulna inloggningsuppgifter. Målet är att upprätta den första ingångspunkten.
  
  
• Få fotfäste: Väl inne distribuerar man anpassad skadlig kod, installerar bakdörrar eller skapar nya användarkonton för att säkra fortsatt åtkomst. På så vis kan man vara säker på att återvända även om en åtkomstpunkt stängs.
  
  
• Höja behörigheter: För att få åtkomst till känsliga system eller data arbetar aktörerna för att höja sina behörigheter, ofta genom att utnyttja felkonfigurationer i system, stjäla administrativa autentiseringsuppgifter eller utnyttja säkerhetsluckor för privilegieeskalering.
  
  
• Lateral förflyttning: Angriparna rör sig genom nätverket, från system till system, för att kartlägga miljön, samla in data och identifiera värdefulla tillgångar. Den här fasen omfattar ofta att kringgå interna skydd och säkerhetsverktyg.
  
  
• Dataexfiltrering eller störning: När angriparna väl har fått en position kan de i hemlighet stjäla känsliga data, till exempel immateriella rättigheter, finansiella poster eller konfidentiell kommunikation. De kan också förbereda mer störande aktiviteter, till exempel att distribuera utpressningstrojaner eller inleda en distribuerad överbelastningsattack (DDoS).
  
  
• Upprätthålla diskretion och uthållighet: Under hela processen anpassar angriparna kontinuerligt sina metoder för att förbli dolda. De kan rotera ledningsservrar (C2), använda krypterad kommunikation och uppdatera skadlig kod för att undvika upptäckt.

Grupperna bakom avancerade långvariga hot använder en rad angreppsvägar för att genomföra de här faserna, bland annat:
 

• Harpunfiskemejl som riktas mot specifika anställda.
• Anpassad skadlig kod som är utformad för den specifika miljön.
• Exploateringspaket som automatiserar delar av attacken.
• Dag noll-attacker som riktar in sig på ej åtgärdade sårbarheter.
• Ledningsservrar för fjärrhantering.
• Social manipulering för att manipulera folk på insidan.
• Leverantörsattack som tar sig in hos betrodda tredje parter.

Cybersäkerhetsattacker med avancerade långvariga hot är utformade för att smälta in i den normala nätverksaktivitet, vilket gör dem svåra att upptäcka med vanliga säkerhetsverktyg. Men det finns varningssignaler – om man vet var man ska leta.

Angreppsindikatorer (IOC)
Angreppsindikatorer är de spår som lämnas kvar av skadlig aktivitet. För attacker med avancerade långvariga hot kan det omfatta:
 

• Ovanliga inloggningsmönster, till exempel åtkomst från oväntade platser eller vid ovanliga tider.
• Oväntad nätverkstrafik mellan interna system och externa servrar.
• Förekomst av okända eller misstänkta filer, skript eller användarkonton. 
• Användning av verktyg som vanligtvis förknippas med angripare, till exempel verktyg för kopiering av inloggningsuppgifter eller ramverk för lateral förflyttning.
• Tecken på dataextrahering, inklusive stora eller oförklarliga utgående överföringar.

Om man känner igen de här signaler tidigt kan man förkorta angriparens tid i miljön och minska den potentiella skadan.

Strategier för att identifiera avancerade långvariga hotaktiviteter
Att upptäcka avancerade långvariga hot kräver en kombination av teknik, processer och människor. Effektiva strategier är bland annat:
 

• Avvikelseidentifiering – Övervaka aktivitet som avviker från etablerade baslinjer, till exempel toppar i dataåtkomst eller ovanliga administrativa åtgärder.
  
  
• Information om cyberhot – Använd uppdaterade informationsflöden om cyberhot för att hålla dig informerad om de senaste attackmetoderna, verktygen och profilerna för hotaktörer.
  
  
• Övervakning av slutpunkter och nätverk – Distribuera verktyg som ger insyn i hela miljön över slutpunkter, molntjänster och nätverkstrafik, vilket hjälper till att upptäcka tecken på intrång i realtid.
  
  
• Proaktiv jakt på cyberhot – Sök aktivt efter dolda hot i din miljö, även när inga varningar har utlösts.

Tillsammans stärker de här metoderna din förmåga att upptäcka avancerad långvarig hotaktivitet tidigt, innan den hunnit orsaka bestående skada.

Så svarar du på en attack med avancerat långvarigt hot
Om en långvarig cybersäkerhetsattack upptäcks är det av största vikt att agera snabbt och följa rätt steg för att återta kontrollen, stänga säkerhetsluckor och lära av händelsen för att bygga en mer motståndskraftig säkerhetsstatus.
 

• Inneslutning: Isolera påverkade system eller konton för att förhindra ytterligare spridning.
  
  
• Utredning: Analysera loggar, trafik och systemfunktionssätt för att förstå angriparens rörelser, mål och metoder.
  
  
• Åtgärdande: Ta bort skadliga verktyg, åtgärda utnyttjade säkerhetsluckor och återställ påverkade system.
  
  
• Återställning och granskning: Återuppta normal drift samtidigt som du genomför en noggrann efterhandsgranskning för att stärka försvaret och förhindra att det händer igen.

Grupperna bakom avancerade långvariga hot utvecklas ständigt. I takt med att försvarare förbättrar sina verktyg och processer, anpassar sig angripare och letar efter nya sätt att kringgå säkerhetskontroller och upprätthålla åtkomst.

Nya metoder för avancerade långvariga hot
Moderna hotaktörer blandar i allt högre grad olika typer av taktik och kombinerar tekniska sårbarheter med social manipulering och attacker mot leveranskedjan för att nå sina mål. Några nya trender är:
 

• Mer sofistikerade nätfiskekampanjer som använder detaljerad personlig eller organisatorisk information för att skapa övertygande lockbeten.
  
  
• Teknik av typen LOTL (Living-off-the-land) där angripare använder legitima verktyg och processer som redan finns i miljön för att undvika upptäckt.
   
• Större beroende av brister i leveranskedjan, där tredjepartsleverantörer eller programuppdateringar blir vägen för initial åtkomst.

De här förändringarna gör det svårare att enbart förlita sig på traditionella skydd som antivirus eller perimeterbaserad säkerhet.

Upptäckt och förebyggande med hjälp av ny teknik
Ny teknik spelar en roll både i angrepp och försvar.
 

• Kvantberäkning är i det tidiga skedet av praktisk tillämpning. Den har potential att störa krypteringsstandarder, vilket på sikt kan påverka hur hotaktörer går till väga för att stjäla data eller ta sig in i system.
  
  
• Med en lösning för samordnade säkerhetsåtgärder kombineras en lösning för säkerhetsinformation och händelsehantering (SIEM) med en lösning för utökad identifiering och åtgärd (XDR) för att ge teamen förbättrad identifiering och åtgärd av hot på en och samma plattform.
  
  
• AI och maskininlärning förbättrar redan identifiering och förebyggande av avancerade långvariga hot. Genom att använda AI för cybersäkerhet kan du upptäcka mönster, identifiera avvikelser och svara snabbare på hot – men det ger också angripare nya möjligheter, till exempel att automatisera delar av sina kampanjer eller generera mer övertygande nätfiske-innehåll.

I takt med att tekniken fortsätter att utvecklas på båda sidor förblir den mänskliga faktorn central i försvaret mot attacker. Säkerhetsteam måste hålla sig uppdaterade och anpassningsbara för att hänga med i det föränderliga hotbilden.

Avancerade långvariga hot som riktar sig mot sakernas internet (IoT) och molnmiljöer
Angreppsytan för APT:er (avancerade långvariga hot) växer. När fler organisationer inför IoT-enheter och molnbaserade tjänster, breddar angriparna sina mål.
 

• IoT-enheter: Eftersom de ofta saknar starka säkerhetskontroller kan de fungera som enkla ingångspunkter till större nätverk.
  
  
• Molnmiljöer: I takt med att arbetsbelastningar och data flyttas till molnet, utvecklar APT-aktörer ny teknik för att kompromettera molnidentiteter, felkonfigurerade resurser och SaaS-plattformar.

Försvaret mot de här trenderna innebär att du breddar din säkerhetsstatus så att den omfattar inte bara lokala system, utan hela din digitala miljö.