什么是高级持续性威胁 (APT)？

APT 概述

高级持续性威胁是一种针对性长期网络攻击，旨在渗透组织并尽可能长时间地保持隐藏状态。与寻找简单目标的广谱攻击不同，APT 是经过精心策划且极具针对性的攻击。攻击者会精心选择目标，通常瞄准政府机构、关键基础设施或大型企业等高价值实体。它们会有条不紊地获取访问权限并长期潜伏。

APT 的目标是在不向受害者发出警报的情况下，隐秘监视活动、窃取敏感数据或中断运营。这些活动通常会持续数周、数月甚至数年之久。由于 APT 的隐蔽性和复杂性，如果它们在系统中扎根，将会难以检测，更难以被遏制。

关键要点

APT 是长期的针对性攻击，可能会在组织内部潜伏数月或数年时间。
攻击者会使用高级工具（如零时差漏洞、自定义恶意软件和社会工程）绕过防御。
APT 攻击活动遵循协调的阶段，包括初始访问、横向移动、中断运行或窃取数据。
常见目标包括政府、财务、医疗保健、技术和关键基础设施行业。
检测和响应需要包括异常检测、威胁情报、调查与修正的协调策略。
修补、员工培训和网络分段等最佳做法有助于降低 APT 风险。

APT 须知事项

要保护组织免受长期定向攻击，必须了解 APT 及其运行方式。这些威胁不只是绕过防御。它们将自己嵌入你的环境并长期潜伏。

APT 与其他类型攻击的不同之处在于，它们结合了攻击的针对性、复杂性和持续性。由于这些特征，它们成为安全团队在开展管理方面最棘手的威胁之一：

高级：攻击者会使用旨在规避传统安全控制的专用工具和策略，例如零时差漏洞、自定义恶意软件和多阶段操作。
持续性：APT 并非一次性事件。攻击者会持续活动以维持访问权限，使用一系列技术来规避检测，并在中断时重新建立控制。
威胁：这些活动由资金充足、技术熟练的对手发起。许多攻击者与国家/地区支持的团体或大型犯罪网络有关，这些组织意图明确且具有长期目标。

了解这些特征后，安全与 IT 领导者可以更有效地评估风险、构建可复原防御，并缩短攻击者在环境中的停留时间。

APT 的工作原理

APT 行动者动机强烈，且通常拥有雄厚的资金支持。他们会花时间研究目标基础结构、确定弱点，并制定自定义策略来利用它们。进入系统后，攻击者会在跨系统横向移动、收集数据或准备发起大规模破坏期间，始终致力于保持隐蔽而不被发现。这种级别的隐蔽性导致早期检测和响应尤其困难。

APT 按阶段协调展开，旨在最大程度地提高攻击影响和规避检测。

侦查和规划：在发起攻击之前，APT 团体会对目标进行广泛的研究。这通常借助开放源代码情报或扫描工具，包括收集有关系统、人员、供应商和潜在漏洞的详细信息。
初始入侵：攻击者通过网络钓鱼电子邮件、利用已知或未知（零时差漏洞）漏洞或利用被盗凭据等方法入侵网络。目标是建立第一个入口点。
建立立足点：入侵成功后，攻击者会部署自定义恶意软件、安装后门或创建新的用户帐户来保护持续访问。这可确保即使关闭一个访问点，它们仍然可以再次入侵。
提升特权：为了访问敏感系统或数据，APT 行动者通常通过利用系统错误配置、窃取管理凭据或利用特权提升漏洞来提升其权限。
横向移动：攻击者会跨网络导航，在各个系统之间移动以绘制环境地图、收集数据和确定高价值资产。此阶段通常包括绕过内部防御和安全工具。
数据外泄或中断：站稳脚跟后，APT 组织会隐秘窃取敏感数据，例如知识产权、财务记录或机密通信。他们还可以策略更多中断性活动，包括部署勒索软件或发起分布式拒绝服务 (DDoS) 攻击。
保持隐蔽性和持续性：在整个过程中，攻击者会持续调整技术以保持隐蔽状态。它们可以轮换命令和控制 (C2) 服务器、使用加密通信和更新恶意软件来规避检测。

APT 组织依赖一系列攻击向量来推进这些阶段，包括：

面向特定员工的鱼叉式网络钓鱼电子邮件。
针对特定环境设计的自定义恶意软件。
自动执行部分攻击过程的攻击工具包。
针对未修补漏洞的零时差漏洞攻击。
用于远程管理的命令和控制服务器。
用于操纵内部成员的社会工程策略。
针对受信任第三方的供应链攻击。

常见目标和真实示例

高级持续性威胁组织是网络安全方面最具威胁的对手之一。此类组织通常由国家/地区或资金雄厚的组织支持，会发起长期的定向活动，其目标是窃取情报、盗窃数据或中断运营。它们的行动通常持续数月或数年，聚焦于对国家/地区和经济安全至关重要的部门。

APT 组织的常见目标
APT 行动者通常将其目标锁定在大型组织或机构上。

政府和国防机构：寻求情报和战略优势。
金融机构：目标在于访问敏感财务数据或破坏经济稳定。
医疗保健提供商：目前在于窃取个人健康信息和研究数据。
科技公司：窃取知识产权和专有技术。
关键基础设施行业：包括能源、交通和电信，其运营中断可能会产生广泛影响。

知名 APT 组织
网络安全专业人员已确定并跟踪多个 APT 组织。其中最值得注意的几个组织包括：

APT28（花式熊）- 此组织据信与俄罗斯军事情报部门有关联，以政府和军事机构为目标，通过鱼叉式网络钓鱼邮件和恶意软件渗透网络。
APT29（舒适熊）- APT29 与俄语情报服务机构有关，侧重于外交和政府实体，利用复杂的恶意软件和隐蔽技术来窃取数据。
Lazarus Group - Lazarus 被认定为与朝鲜有关联，所发起的攻击涵盖以及针对媒体与娱乐行业的破坏性攻击。

APT 案例研究
高级持续性威胁组织已在不同行业中执行了大量复杂的网络攻击。下面的知名示例说明了它们采用的方法和造成的影响。

针对一家美国头部保险公司的网络攻击：2021 年 3 月，一家美国头部保险公司遇到勒索软件攻击，导致多项服务中断。攻击者使用勒索软件加密文件并泄露数据，影响超过 75,000 人。该事件需要投入大量成本开展为期数月的调查、法律应对和补救工作，以保护受影响的系统和通知受影响用户。
入侵国家能源基础设施：2023 年，丹麦能源行业 22 家公司遭到依次利用防火墙漏洞的协调攻击。攻击者非法入侵了部分公司的工业控制系统，导致严重的运营中断。
入侵大型医疗保健组织 IT 服务：2024 年 2 月发生一起针对医疗保健 IT 服务部门的重大网络攻击，中断了患者护理，并导致受保护健康信息失窃。攻击者利用勒索软件来加密文件和泄露数据，估计影响人数达到 1.9 亿。

这些案例展示了 APT 威胁的持续且不断发展的性质，凸显了跨所有行业采取可靠 APT 网络安全措施的需求。

检测和响应 APT

APT 网络安全攻击旨在混入正常的网络活动，导致标准安全工具难以对其进行检测。不过，只要找对地方，就能发现预警信号。

入侵指示器 (IOC)
IOC 是恶意活动遗留的痕迹。对于 APT 攻击，这些可能包括：

异常登录模式，例如从意外位置或在非工作时间进行的访问。
内部系统和外部服务器之间的异常网络流量。
出现未知或可疑的文件、脚本或用户帐户。
使用通常与攻击者关联的工具，例如凭据转储程序或横向移动框架。
数据外泄的迹象，包括大量或无法解释的出站传输。

尽早识别这些信号可缩短攻击者在环境中的驻留时间，从而降低潜在损失。

检测 APT 活动的策略
检测 APT 需要技术、流程和人员方面的配合。有效策略包括：

异常情况检测 - 监视偏离既定基线的活动，例如数据访问出现激增或发生异常管理操作。
网络威胁情报 - 使用最新的威胁情报源，以及时了解最新的攻击技术、工具和威胁行动者个人资料。
终结点和网络监视 - 部署可跨终结点、云服务和网络流量提供可见性的工具，以帮助实时检测入侵信号。
主动网络威胁搜寻 - 主动搜索环境中的隐藏威胁，即使未触发警报也是如此。

这些方法共同增强了在 APT 活动造成持久损害之前提前发现 APT 活动的能力。

应对 APT 攻击
如果检测到 APT 网络安全攻击，必须快速行动并执行相应措施来恢复控制、缩小安全差距并从事件中汲取经验，以构建更具复原能力的安全态势。

遏制：隔离受影响的系统或帐户，以防止进一步扩散。
调查：分析日志、流量和系统行为，以了解攻击者的移动、目标和方法。
修正：移除恶意工具、修补被利用的漏洞以及还原受影响的系统。
恢复与审核：恢复正常运营，同时开展全面的时间后审核，以强化防御并防范攻击再次发生。

防范 APT

防范高级持续性威胁需要使用多种工具或产品。需要采用多层安全方法。由于 APT 组织使用一系列策略来渗透网络和长期潜伏，因此防范此类组织必须弥补人员、流程和技术方面的短板：

培训员工，以识别常见攻击向量并采取响应的应对措施。
制定可限制风险并提高复原能力的策略和程序。
使用最新的安全工具，以跨整个数字环境提供可见性、检测和保护。

托管检测和响应 (MDR) 服务等解决方案提供了技术和人类专业知识的组合。

APT 防护的最佳做法
虽然完美的防御并不存在，但以下最佳做法可以显著降低 APT 攻击的发生概率与影响：

定期软件更新和补丁管理：保持系统、应用程序和固件处于最新状态，以修补已知漏洞。许多 APT 攻击都通过利用未修补的漏洞取得成功的。
开展员工培训以防范网络钓鱼：指导员工如何发现可疑的电子邮件和消息，尤其是利用定制诱饵针对个人发起的鱼叉式网络钓鱼尝试。
网络分段和最低特权访问：通过对网络进行分段并仅授予用户执行其作业所需的访问权限来限制攻击的扩散。这会增加攻击者进行横向移动的难度。
监视和事件响应规划：实施持续监视，以检测可疑活动并维护经过充分演练的事件响应计划。这可确保团队了解如何在检测到攻击时迅速采取行动。

防范 APT 并不是要消除所有风险。相反，这是为了提高攻击者的攻击门槛，增加其攻击的难度，并提高早期发现其攻击的可能性。借助分层方法，组织可以创建深度防御策略，以保护关键资产免受复杂威胁的侵害。

APT 的新兴趋势

APT 组织一直在不断发展。随着防御方改进其工具和流程，攻击者也会调整其技术，寻找绕过安全控制和维护访问权限的新方法。

新兴 APT 技术
现代 APT 行动者正不断融合策略，将技术攻击与社会工程和供应链攻击相结合来实现其目标。部分新兴趋势包括：

更复杂的网络钓鱼活动，这些活动使用详细的个人或组织数据来制作高仿真诱饵。
就地取材式技术，即攻击者使用环境中已存在的合法工具和进程来规避检测。
更依赖于供应链入侵，其中第三方供应商或软件更新成为进行初始访问的途径。

这些变化增加了单纯依赖传统防御（如防病毒软件或边界安全）来防范攻击的难度。

通过新兴技术实施检测和防护
新兴技术在攻防两端都可以发挥作用。

量子计算正处于实际应用的早期阶段。它可能颠覆加密标准，最终可能会影响 APT 行动者执行数据窃取或系统入侵的方式。
统一的 SecOps 解决方案 整合了安全信息和事件管理解决方案 (SIEM)与扩展检测和响应 (XDR) 解决方案相结合，可助力团队在一个平台中实现增强的威胁检测与响应。
AI 和机器学习已在改进 APT 检测和防护。将 AI 用于网络安全可帮助你发现模式、检测异常并更快地应对威胁，但它们也为攻击者提供了新的功能，例如自动执行其活动的某些部分或生成更具欺骗性的网络钓鱼内容。

随着攻防两方技术的不断发展，人的因素仍然是抵御攻击的核心所在。安全团队必须及时了解情况并适应不断发展的威胁。

针对物联网 (IoT) 和云环境的 ATP
APT 的攻击面正在扩展。随着越来越多的组织采用 IoT 设备和基于云的服务，攻击者正在拓展其攻击目标。

IoT 设备：由于通常缺少强大的安全控制，这些设备非常容易成为进入大型网络的薄弱入口。
云环境：当工作负载和数据转移到云时，APT 行动者正在开发新技术来入侵云标识、配置错误的资源和 SaaS 平台。

应对这些趋势意味着要扩大安全态势的范围，不仅要涵盖本地系统，而且要涵盖数字生态系统的每个部分。

针对 APT 的 Microsoft 安全解决方案

Microsoft Defender XDR 可帮助组织检测、调查和响应整个数字环境中的高级持续性威胁。通过将来自终结点、标识、电子邮件、云应用等的信号汇集在一起，Microsoft Defender XDR 可提供统一的威胁视图，帮助安全团队打破孤岛和快速行动。

要加强针对 APT 的防御，并在安全旅程中开展后续行动，请浏览 Microsoft Defender XDR 和 Microsoft 安全统一 SecOps 解决方案。

资源

详细了解 Microsoft 安全

产品

使用 Microsoft Defender XDR 保护整个企业

保护终结点、标识、云应用和数据免受网络攻击。

详细了解

解决方案

统一安全运营

使用端到端安全运营平台来超越网络威胁。

详细了解

威胁防护门户

网络安全和 AI 资讯

探索网络威胁防护和网络安全 AI 的最新趋势和最佳做法。

获取最新资源

智能报告

2024 年数字防御报告

从 Microsoft 的专家那里获得有关威胁智能状况的最新见解和相关指导。

获取报告

高级持续性威胁 (APT) 是由资金充足的攻击者（通常与国家/地区或有组织团体关联）发起的长期针对性网络攻击。APT 侧重于渗透特定组织，并保持对敏感系统或数据的持续非法访问，其目的通常是为了窃取情报、盗窃数据或破坏运营。与机会性攻击不同，APT 会使用复杂的工具和策略（包括自定义恶意软件、社会工程和零时差漏洞攻击），以规避检测并实现其目标。
2024 年 2 月，一家大型医疗保健组织的 IT 服务遭到入侵，这是一个广为人知的高级持续性威胁示例。此网络攻击中断了患者护理，并导致受保护的健康信息失窃。攻击者利用勒索软件来加密文件和泄露数据，影响人数估计达到 1.9 亿。
高级持续性威胁 (APT) 是一种网络攻击，而高级威胁防护 (ATP) 则是指用于检测和防范此类威胁的工具和策略。APT 描述攻击者的方法，重点在于执行长期且具有针对性的行动。ATP 则包括了可帮助组织识别、调查和应对这些攻击的安全解决方案，如 Microsoft Defender。尽管其缩写听起来相似，但它们代表了网络安全环境的攻防两端。
高级持续性威胁攻击的主要目标是在不被检测的情况下，获取和维护对目标系统或数据的长期未授权访问权限。攻击者通常旨在窃取敏感信息、实施情报窃取、中断运营或破坏关键基础设施。与快速的机会性攻击不同，APT 具有高度针对性和周密的计划，侧重于造成持续性的战略影响。