Що таке вдосконалена постійна загроза (APT)?

Дізнайтеся про APT і про те, як виявляти ці довготривалі цілеспрямовані кібератаки, запобігати їм і реагувати на них за допомогою багаторівневих стратегій захисту.

Огляд Microsoft Defender XDR

Огляд APT

Удосконалена постійна загроза – це довготривала цілеспрямована кібератака, призначена для проникнення в організацію та прихованого перебування в ній якомога довше. На відміну від широкомасштабних атак, які шукають легкі цілі, APT є прорахованими та персоналізованими. Зловмисники ретельно вибирають цілі, часто націлюючись на такі важливі об’єкти, як-от державні установи, критичну інфраструктуру або великі підприємства. Вони методично працюють, намагаючись отримати доступ і залишитися всередині.

Мета APT – непомітно стежити за діяльністю, викрадати конфіденційні дані або порушувати роботу, не попереджаючи жертву. Такі кампанії часто тривають тижнями, місяцями або навіть роками. Через свою прихованість і складність загрозу APT може бути важко виявити та ще важче стримати після того, як вона вкоренилася.

Ключові висновки

APT – це довготривалі цілеспрямовані атаки, які можуть залишатися непоміченими в організаціях протягом місяців або років.
Зловмисники використовують передові засоби, як-от експлойти нульового дня, спеціально створені зловмисні програми та соціотехніку, щоб обійти захист.
Кампанії APT відбуваються у скоординованих етапах, таких як початковий доступ, бокове зміщення та порушення роботи або викрадення даних.
До типових цілей атак належать державні установи, фінанси, охорона здоров’я, технологічний сектор і критично важлива інфраструктура.
Виявлення та реагування потребує скоординованих стратегій для виявлення аномалій, аналізу загроз, розслідування та усунення.
Такі рекомендовані заходи, як застосування виправлень, навчання співробітників і сегментація мережі, допомагають зменшити ризик від APT.

Що потрібно знати про APT

Щоб захистити вашу організацію від довготривалих цілеспрямованих атак, важливо розуміти, що таке загрози APT і як вони діють. Ці загрози не просто оминають засоби захисту. Вони вбудовуються у ваше середовище й залишаються там.

APT відрізняються від інших типів атак поєднанням спрямованості, складності та тривалості. Ці характеристики роблять їх одними з найскладніших загроз, які доводиться долати командам безпеки:

Удосконаленість: зловмисники використовують спеціалізовані засоби й тактики, призначені для оминання традиційних засобів захисту, як-от вразливості до загроз нульового дня, спеціально створені зловмисні програми та багатоетапні операції.
Стійкість: APT – це не одноразові події. Зловмисники безперервно намагаються зберегти доступ, використовуючи різні методи, щоб уникнути виявлення та відновити контроль, якщо його буде втрачено.
Загроза: ці кампанії проводяться добре фінансованими та досвідченими зловмисниками. Багато з них пов’язані з підтримуваними державою групами або масштабними злочинними мережами, які діють із чіткими намірами і довгостроковими цілями.

Розуміючи ці особливості, керівники з безпеки та ІТ можуть ефективніше оцінювати ризики, будувати стійкі системи захисту та скорочувати час перебування зловмисників у середовищі жертви.

Як працюють APT

Учасники APT мають високу мотивацію й часто користуються значними фінансовими ресурсами. Вони витрачають час на вивчення інфраструктури цілі, виявлення слабких місць і розроблення спеціалізованих стратегій, щоб використовувати їх. Опинившись усередині, вони прагнуть залишатися невиявленими, переміщуючись між системами, збираючи дані або готуючись до ширших порушень. Такий рівень прихованості особливо ускладнює раннє виявлення та реагування.

Атаки APT розгортаються в скоординованих етапах, розроблених так, щоб досягти максимального впливу та уникнути виявлення.

Інформаційна розвідка та планування. Перед початком атаки групи APT проводять ретельне дослідження цілі. Воно охоплює збирання відомостей про системи, персонал, постачальників і потенційні вразливості, часто з використанням відкритих джерел або інструментів сканування.
Початкове проникнення. Зловмисники проникають у мережу такими способами, як фішингові листи, використання відомих або невідомих уразливостей (уразливостей нульового дня) або викрадених облікових даних. Мета полягає в тому, щоб створити першу точку входу.
Закріплення: Опинившись усередині, нападники розгортають спеціалізовані зловмисні програми, інсталюють бекдори або створюють нові облікові записи користувачів, щоб забезпечити постійний доступ. Завдяки цьому вони можуть повертатися, навіть якщо одну точку доступу буде закрито.
Підвищення прав. Щоб отримати доступ до конфіденційних систем або даних, учасники APT намагаються підвищити свої права, часто використовуючи неправильні налаштування системи, викрадаючи облікові дані адміністратора або використовуючи вразливості підвищення прав.
Бокове зміщення. Зловмисники переміщуються мережею, переходячи від однієї системи до іншої, щоб скласти карту середовища, зібрати дані та визначити цінні ресурси. Цей етап часто включає оминання внутрішніх засобів захисту та інструментів безпеки.
Ексфільтрація даних або порушення роботи. Після закріплення групи APT можуть непомітно викрадати конфіденційні дані, як-от інтелектуальну власність, фінансові записи або конфіденційне листування. Вони також можуть готуватися до більш руйнівних дій, зокрема розгортання зловмисних програм із вимогою викупу або запуск розподілених атак із відмовою в обслуговуванні (DDoS).
Підтримання прихованості та стійкості. Упродовж усього процесу зловмисники безперервно адаптують свої методи, щоб залишатися непоміченими. Вони можуть змінювати контрольні сервери (C2), використовувати шифровані комунікації та оновлювати зловмисні програми, щоб уникнути виявлення.

Для виконання цих етапів групи APT використовують низку векторів атак, зокрема:

Цільові фішингові листи, спрямовані на конкретних працівників.
Зловмисні програми, спеціально розроблені для певного середовища.
Набори експлойтів, які автоматизують частину процесу атаки.
Експлойти нульового дня, спрямовані на невиправлені вразливості.
Контрольні сервери для віддаленого керування.
Соціотехнічні тактики для маніпулювання інсайдерами.
Атаки на ланцюжки постачання, які компрометують довірені сторонні організації.

Типові цілі та реальні приклади

Групи вдосконалених постійних загроз є одними з найнебезпечніших супротивників для кібербезпеки. Підтримувані державами або добре фінансованими організаціями, ці групи проводять тривалі цілеспрямовані кампанії, метою яких є шпигунство, викрадення даних або порушення роботи. Їхні операції часто тривають місяцями або роками, зосереджуючись на секторах, критично важливих для національної та економічної безпеки.

Типові цілі груп APT
Учасники APT зазвичай націлюються на великі організації або установи.

Державні установи оборонні організації: пошук розвідувальних даних і отримання стратегічних переваг.
Фінансові установи: отримання доступу до конфіденційних фінансових даних або порушення економічної стабільності.
Заклади охорони здоров’я: вишукування персональних медичних даних і даних досліджень.
Технологічні компанії: доступ до інтелектуальної власності та фірмових технологій.
Сектори критичної інфраструктури: зокрема, енергетика, транспорт і телекомунікації, де порушення роботи можуть мати широкий вплив.

Відомі групи APT
Фахівцями з кібербезпеки виявлено й відстежується кілька груп APT. До найвідоміших груп належать:

APT28 (Fancy Bear) – вважається, що ця група пов’язана з російською військовою розвідкою; вона націлювалася на урядові та військові організації, застосовуючи цільовий фішинг і зловмисні програми для проникнення в мережі.
APT29 (Cozy Bear) – пов’язана з російськими розвідувальними службами, APT29 атакувала дипломатичні та урядові структури, використовуючи складні зловмисні програми та приховані методи для викрадення даних.
Lazarus Group –цю групу пов’язують із Північною Кореєю. Вона здійснювала різноманітні операції, від фінансових крадіжок до руйнівних атак на медіа- та розважальні сектори.

Приклади використання APT
Групи вдосконалених постійних загроз здійснили численні складні кібератаки в різних секторах. Показані нижче резонансні приклади ілюструють їхні методи та наслідки.

Кібератака на провідну страхову компанію США: у березні 2021 року провідна страхова компанія зі США зазнала атаки зловмисних програм із вимогою викупу, що порушила роботу кількох служб. Використовуючи ці програми, зловмисники шифрували та викрадали дані, що вплинуло на понад 75 000 осіб. Для розслідування, правового реагування та усунення наслідків, щоб захистити уражені системи та повідомити постраждалих клієнтів, довелося витратити кілька місяців і багато коштів.
Злом енергетичної інфраструктури країни: у 2023 році скоординована атака вразила 22 компанії енергетичного сектору Данії, скориставшись вразливістю брандмауера. Зловмисники отримали несанкціонований доступ до промислових систем керування деяких компаній, що призвело до значних збоїв у їхній діяльності.
Порушення роботи ІТ-служб великої медичної організації: у лютому 2024 р. було здійснено значну кібератаку на підрозділ ІТ-служб у галузі охорони здоров’я, що порушило надання медичної допомоги та призвело до викрадення захищеної медичної інформації. За допомогою зловмисних програм із вимогою викупу нападники шифрували файли та викрадали дані, які, за оцінками, стосувалися 190 мільйонів людей.

Ці випадки демонструють стійкий і дедалі складніший характер загроз APT, наголошуючи на потребі в надійних заходах кібербезпеки проти APT у всіх секторах.

Виявлення та реагування на APT

Атаки APT на кібербезпеку побудовані так, щоб не відрізнятися від звичайної мережевої активності, тому стандартні інструменти захисту важко виявляють їх. Але є й попереджувальні ознаки – якщо ви знаєте, де шукати.

Індикатори порушення безпеки (ІПБ)
ІПБ – це сліди, які залишає зловмисна діяльність. У випадку атак APT до них можуть належати:

Незвичні операції входу, наприклад доступ із неочікуваних розташувань або в незвичний час.
Неочікуваний мережевий трафік між внутрішніми системами та зовнішніми серверами.
Наявність невідомих або підозрілих файлів, сценаріїв чи облікових записів користувачів.
Використання інструментів, зазвичай пов’язаних зі зловмисниками, як-от засобів для створення дампів облікових даних або платформ для бічного зміщення.
Ознаки ексфільтрації даних, зокрема великі або незрозумілі передавання даних назовні.

Раннє виявлення таких сигналів може скоротити час перебування зловмисника у вашому середовищі, що зменшує потенційну шкоду від нього.

Стратегії виявлення діяльності APT
Для виявлення APT потрібне сполучення технологій, процесів і людей. Ефективні стратегії включають:

Виявлення аномалій – відстеження дій, які виходять за встановлені межі, наприклад різкого зростання обсягу доступу до даних або незвичних адміністративних дій.
Аналіз кіберзагроз –використання актуальних каналів відомостей про загрози, щоб бути в курсі новітніх методів атак, інструментів і профілів джерел загрози.
Моніторинг кінцевих точок і мереж – розгортання інструментів, які забезпечують видимість у межах кінцевих точок, хмарних служб і трафіку, допомагаючи виявляти ознаки злому в реальному часі.
Профілактичне відстеження кіберзагроз – активний пошук прихованих загроз у вашому середовищі, навіть коли жодних сповіщень не надходило.

Разом ці підходи посилюють вашу здатність заздалегідь помічати діяльність APT ще до того, як вона спричинить тривалу шкоду.

Реагування на атаку APT
Якщо виявлено кібератаку APT, дуже важливо діяти швидко та вжити належних заходів, щоб відновити контроль, закрити прогалини в безпеці та винести уроки з інциденту, щоб досягти кращої захищеності.

Локалізація: ізолюйте уражені системи або облікові записи, щоб запобігти подальшому поширенню.
Розслідування: проаналізуйте журнали, трафік і поведінку системи, щоб зрозуміти переміщення, цілі та методи зловмисника.
Усунення: вилучіть зловмисні інструменти, виправте використані вразливості та відновіть уражені системи.
Відновлення та огляд: відновіть нормальну роботу та проведіть ретельний аналіз ситуації після інциденту, щоб посилити захист і запобігти повторенню.

Запобігання APT

Запобігання вдосконаленим постійним загрозам потребує не лише одного інструмента або продукту. Воно вимагає багаторівневого підходу до безпеки. Оскільки групи APT використовують різні тактики, щоб проникати в мережу та закріплюватися в ній, захист від них означає усунення прогалин у роботі людей, процесах і технологіях:

Навчайте працівників розпізнавати типові вектори атак і належно реагувати на них.
Запроваджуйте політики та процедури, які зменшують ризик і підвищують стійкість.
Використовуйте оновлені засоби захисту, які забезпечують видимість, виявлення та захист у всьому вашому цифровому середовищі.

Такі рішення, як служби керованого виявлення та реагування (MDR), пропонують поєднання технологій і людської експертизи.

Рекомендації із запобігання APT
Хоча жоден захист не є досконалим, додержання наведених нижче рекомендацій може значно знизити ймовірність і вплив атаки APT:

Регулярне оновлення програмного забезпечення та керування виправленнями: підтримуйте актуальність систем, програм і мікропрограм, щоб закрити відомі вразливості. У багатьох успішних атаках APT використовуються невиправлені слабкі місця.
Навчання співробітників протидії фішингу: навчіть співробітників розпізнавати підозрілі електронні листи та повідомлення, особливо спроби цільового фішингу, спрямовані на окремих людей із підготовленими приманками.
Сегментація мережі та доступ із найменшими привілеями: обмежте поширення атаки, сегментуючи мережі та надаючи користувачам лише той доступ, який потрібен їм для виконання роботи. Це ускладнює зловмисникам переміщення мережею.
Моніторинг і планування реагування на інциденти: упровадьте безперервний моніторинг для виявлення підозрілої активності та підтримуйте добре відпрацьований план реагування на інциденти. Це гарантує, що ваша команда знатиме, як швидко діяти, якщо буде виявлено атаку.

Запобігання APT не означає усунення всіх ризиків. Натомість ідеться про те, щоб підвищити планку для зловмисників, ускладнити їм роботу та збільшити шанси спіймати їх на ранньому етапі. Завдяки багаторівневому підходу організації можуть створити стратегію багаторівневої оборони, яка захистить критично важливі ресурси навіть від складних загроз.

Нові тенденції для APT

Групи APT постійно розвиваються. У той час як захисники вдосконалюють свої інструменти та процеси, зловмисники адаптують свої методи, шукаючи нові способи оминути засоби захисту та зберегти свій доступ.

Нові методи APT
Сучасні APT дедалі частіше поєднують різні тактики, комбінуючи технічні експлойти із соціотехнікою та атаками на ланцюжки постачання, щоб досягти своїх цілей. Серед нових тенденцій можна назвати:

Складніші фішингові кампанії, які використовують детальні дані осіб або організацій для створення переконливих приманок.
Методи LOTL, коли зловмисники використовують легітимні інструменти та процеси, які вже є в середовищі, щоб уникнути виявлення.
Зростання залежності від злому ланцюжка постачання, коли сторонні постачальники або оновлення програмного забезпечення стають вектором початкового доступу.

Через такі зміни стає дедалі важче покладатися лише на традиційні засоби захисту, такі як антивіруси або периметрові системи безпеки.

Виявлення та запобігання за допомогою нових технологій
Нові технології відіграють роль і в атаці, і в захисті.

Квантові обчислення перебувають на ранніх етапах практичного застосування. Вони здатні порушити стандарти шифрування, що згодом може вплинути на підхід учасників APT до крадіжки даних або злому систем.
Уніфіковане рішення SecOps поєднує рішення для керування захистом інформації (SIEM) із рішенням розширеного виявлення й реагування (XDR), щоб надати командам розширені можливості виявлення загроз і реагування на них на одній платформі.
ШІ та машинне навчання вже покращують виявлення та запобігання APT. Використання ШІ для кібербезпеки допомагає захисникам помічати закономірності, виявляти аномалії та швидше реагувати на загрози – але зловмисники також отримують нові можливості, наприклад автоматизацію частин їхніх кампаній або створення переконливішого фішингового вмісту.

Оскільки технології з обох боків продовжують розвиватися, людський фактор залишається головним у захисті від атак. Команди безпеки мають зберігати поінформованість і гнучкість, щоб не відставати від еволюції загроз.

APT, що націлюються на Інтернет речей (IoT) і хмарні середовища
Вектори атаки для APT розширюються. Оскільки дедалі більше організацій впроваджують пристрої IoT та хмарні служби, зловмисники розширюють коло своїх цілей.

Пристрої IoT: часто не мають надійних засобів захисту, тому можуть стати легкими точками входу до більших мереж.
Хмарні середовища: у той час, як робочі навантаження та дані переходять у хмару, учасники APT розробляють нові методи злому хмарних ідентичностей, неправильно налаштованих ресурсів і платформ SaaS.

Щоб захищатися від цих тенденцій, потрібно розширити вашу захищеність, яка має охоплювати не лише локальні системи, а й кожну частину вашої цифрової екосистеми.

Рішення Захисного комплексу Microsoft для захисту від APT

Microsoft Defender XDR допомагає організаціям виявляти, досліджувати та реагувати на вдосконалені постійні загрози в усьому цифровому середовищі. Об’єднуючи сигнали від кінцевих пристроїв, ідентичностей, електронної пошти, хмарних програм та інших джерел, Microsoft Defender XDR надає уніфікований огляд загроз, допомагаючи командам безпеки долати ізоляцію даних і швидко діяти.

Щоб посилити захист від APT і зробити наступний крок у подорожі до безпеки, ознайомтеся з Microsoft Defender XDR і уніфікованим рішенням SecOps Захисного комплексу Microsoft.

Ресурси

Дізнайтеся більше про Захисний комплекс Microsoft

Продукт

Захист усього підприємства за допомогою Microsoft Defender XDR

Захистіть свої кінцеві точки, ідентичності, хмарні програми та дані від кібератак.

Дізнайтеся більше

Рішення

Уніфіковані безпекові операції

Випереджайте кіберзагрози за допомогою наскрізної платформи безпечних операцій.

Дізнайтеся більше

Жінка дивиться на мобільний телефон і посміхається

Портал захисту від загроз

Новини про кібербезпеку та ШІ

Дізнайтеся про останні тенденції та передові методи захисту від кіберзагроз, зокрема за допомогою ШІ.

Отримати найновіші ресурси

Звіт про кібербезпеку

Звіт про цифровий захист за 2024 рік

Отримуйте останні аналітичні висновки за результатами аналізу кіберзагроз і вказівки від експертів корпорації Майкрософт.

Отримати звіт

Удосконалена постійна загроза (advanced persistent treat, APT) – це довготривала цілеспрямована кібератака, яку здійснюють добре фінансовані зловмисники, часто пов’язані з країнами або організованими групами. APT зосереджуються на проникненні в конкретні організації та підтриманні постійного несанкціонованого доступу до конфіденційних систем або даних, часто з метою шпигунства, крадіжки чи порушення роботи. На відміну від випадкових атак, APT використовують складні інструменти та тактики, зокрема спеціально створені зловмисні програми, соціотехніку та експлойти нульового дня, щоб уникнути виявлення й досягти своїх цілей.
Один відомий випадок удосконаленої постійної загрози стався в лютому 2024 р., коли було зламано ІТ-служби великої медичної організації. Ця кібератака порушила надання медичної допомоги та призвела до викрадення захищеної медичної інформації. За допомогою зловмисних програм із вимогою викупу нападники шифрували файли та викрадали дані, що, за оцінками, вплинуло на 190 мільйонів людей.
Удосконалена постійна загроза (APT) – це різновид кібератаки, тоді як розширений захист від загроз (ATP) означає інструменти та стратегії, що використовуються для виявлення таких загроз і захисту від них. APT описує методи зловмисників, насамперед довготривалі цілеспрямовані операції. З іншого боку, ATP включає рішення безпеки, як-от Microsoft Defender, які допомагають організаціям виявляти, досліджувати та реагувати на ці атаки. Хоча ці абревіатури звучать схоже, вони представляють протилежні сторони ландшафту кібербезпеки.
Основна мета атаки удосконаленої постійної загрози – отримати й підтримувати довготривалий несанкціонований доступ до систем або даних жертви без виявлення. Зловмисники часто прагнуть викрадати конфіденційну інформацію, вести шпигунство, порушувати роботу або шкодити критично важливій інфраструктурі. На відміну від швидких випадкових атак, APT є дуже цілеспрямованими та ретельно спланованими, зосереджуючись на стійкості та стратегічному впливі з часом.