This is the Trace Id: f32ede4c1cdc7f4e68330887e9433771
跳到主要內容 Microsoft Defender Microsoft Entra Microsoft Intune 專案感知 Microsoft Purview Microsoft Sentinel SIEM 檢視所有產品 AI 支援的網路安全性 雲端安全性 資料安全性與治理 身分識別和網路存取權 AI 的安全性 中小型企業 整合式 SecOps 零信任 價格 服務 合作夥伴 為何選擇使用 Microsoft 安全性 網路安全性意識 客戶案例 安全說明資訊 產品試用 受業界認可 Microsoft Security Insider Microsoft 數位防禦報告 安全回應中心 Microsoft 安全性部落格 Microsoft 安全性事件 Microsoft 技術社群 文件 技術內容庫 訓練與認證 Microsoft Cloud 合規性計畫 Microsoft 信任中心 服務信任入口網站 Microsoft 安全未來倡議 商務解決方案中樞 連絡銷售人員 開始免費試用 Microsoft 安全性 Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space 混合實境 Microsoft HoloLens Microsoft Viva 量子運算 教育 汽車 金融服務 政府機構 醫療保健 製造 零售 尋找合作夥伴 成為合作夥伴 合作夥伴網路 Microsoft Marketplace 軟體公司 部落格 Microsoft Advertising 開發人員中心 文件 活動 授權 Microsoft Learn Microsoft 研究 檢視網站地圖

什麼是進階持續性威脅 (APT)?

了解 APT，以及如何偵測、防止及回應這些具有分層安全性策略的長期目標網路攻擊。
探索 Microsoft Defender 全面偵測回應

APT 概觀

進階持續性威脅是一種長期且具針對性的 網路攻擊，目的是滲透組織並盡可能長時間地隱藏自身。與尋找容易下手目標的大規模攻擊不同，APT 經過精密計算且具有高度針對性。攻擊者會仔細挑選目標，通常鎖定政府機關、關鍵基礎架構或大型企業等高價值對象。它們會有系統地取得存取權限，並持續維持存在。

APT 的目標是在不驚動受害者的情況下，悄悄監控活動、竊取敏感性資料，或干擾作業。這些攻擊行動通常會持續數週、數月，甚至數年。由於其隱蔽性與複雜性，APT 很難被偵測，而且一旦在系統中扎根後，也更難加以遏止。

關鍵重點

  • APT 是長期且具針對性的攻擊，能在組織內部隱藏數月甚至數年。
  • 攻擊者會使用零時差漏洞、自訂惡意軟體與社交工程等進階工具來繞過防禦。
  • APT 攻擊行動會遵循協調性的階段，例如初始入侵、橫向移動，以及破壞或資料竊取。
  • 常見目標包括政府、金融、醫療保健、科技和關鍵基礎架構產業。
  • 偵測與回應需要協調性的策略，包括異常偵測、威脅情報、調查與補救。
  • 修補漏洞、員工訓練與網路分段等最佳做法，有助於降低 APT 風險。

您需要了解的 APT 資訊

若要保護您的組織免受長期、鎖定特定目標的攻擊，了解 APT 及其運作方式至關重要。這些威脅不只是繞過防禦而已。它們會嵌入您的環境之中，並長期潛伏。

APT 與其他類型攻擊不同之處，在於其結合了專注性、複雜性與持續時間。這些特性使其成為安全性團隊最難管理的威脅之一:
 
  • 進階: 攻擊者會使用專門設計來規避傳統安全性控制的工具與戰術，例如零時差漏洞、自訂 惡意軟體 與多階段攻擊行動。

  • 持續: APT 不是一次事件。攻擊者會持續運作以維持存取權限，並利用多種技術來避免被偵測，以及在遭中斷後重新取得控制權。

  • 威脅: 這些攻擊行動是由資金充足且技術高超的對手所執行。其中許多與國家支持的組織或大型犯罪網路有關，這些組織通常具有明確意圖與長期目標。
透過了解這些特性，安全性與 IT 領導者能更有效地評估風險、建立具韌性的防禦措施，並縮短攻擊者在其環境中停留的時間。

APT 的運作方式

APT 攻擊者具有高度動機，且通常擁有大量財務資源支持。他們會花時間研究目標的基礎架構、找出弱點，並制定自訂策略來加以利用。一旦成功入侵，他們的目標是在不被察覺的情況下，橫向移動於各系統之間、蒐集資料，或準備更大規模的破壞行動。這種高度隱蔽性使得早期偵測與回應特別困難。

APT 會以協調性的階段展開，以最大化影響並避免被偵測。
 
  • 偵察和規劃: 在發動攻擊之前，APT 團體會對目標進行大量研究。這包括收集有關系統、人員、供應商與潛在漏洞的資訊，通常會利用開源情報或掃描工具。

  • 初始入侵: 攻擊者會透過 網路釣魚電子郵件、利用已知或未知 (零時差) 漏洞，或使用遭竊憑證等方式入侵網路。其目標是建立第一個入侵點。

  • 建立據點: 一旦進入系統，攻擊者會部署自訂惡意軟體、安裝後門程式，或建立新的使用者帳號，以確保持續存取能力。這能確保即使某個存取點被封鎖，他們仍能重新返回。

  • 提升權限: 為了存取敏感性系統或資料，APT 攻擊者會嘗試提升權限，通常透過利用系統設定錯誤、竊取管理員憑證，或利用權限提升漏洞。

  • 橫向移動: 攻擊者會在網路中從一個系統移動到另一個系統，以繪製環境架構、收集資料，並辨識高價值資產。此階段通常包括繞過內部防禦與安全性工具。

  • 資料外洩或破壞: 在取得適當位置後，APT 團體可能會悄悄竊取敏感性資料，例如智慧財產、財務記錄或機密通訊內容。他們也可能準備進行更具破壞性的活動，包括部署 勒索軟體 或發動 分散式阻斷服務 (DDoS) 攻擊。

  • 維持隱蔽性與持續性: 在整個過程中，攻擊者會持續調整其技術，以保持隱藏狀態。他們可能會輪替命令與控制 (C2) 伺服器、使用加密通訊，並更新惡意軟體以避免被偵測。
APT 組織會依賴多種攻擊向量來執行這些階段，包括:
 
  • 鎖定特定員工的魚叉式網路釣魚電子郵件。
  • 針對特定環境量身打造的自訂惡意軟體。
  • 可自動化部分攻擊流程的漏洞利用工具包。
  • 針對尚未修補漏洞的零時差漏洞攻擊。
  • 用於遠端管理的命令與控制伺服器。
  • 用來操縱內部人員的社交工程策略。
  • 入侵受信任第三方的供應鏈攻擊。

一般目標和實際範例

進階持續性威脅群組是 網路安全 領域中最強大的對手之一。這些組織通常由國家或資金充足的機構支持，會執行長期且具針對性的攻擊行動，目的是進行間諜活動、資料竊取或破壞。他們的作業通常持續數月甚至數年，主要鎖定對國家與經濟安全至關重要的產業。

APT 群組的一般目標
APT 行動者通常會將目標鎖定在大型組織或機構上。
 
  • 政府與國防組織: 尋求情報和戰略優勢。

  • 金融機構: 目標是取得敏感性金融資料或破壞經濟穩定。

  • 醫療保健提供者: 鎖定個人健康資訊與研究資料。

  • 科技公司: 追求智慧財產權與專有技術。

  • 關鍵基礎設施產業: 包括能源、運輸與電信領域，其遭受破壞可能造成廣泛影響。
     
值得注意的 APT 群組
網路安全性專業人員已識別並追蹤數個 APT 群組。幾個最值得注意的群組包括:
 
  • APT28 (Fancy Bear)——普遍認為與俄羅斯軍事情資單位有關，該組織曾鎖定政府與軍事機構，利用魚叉式網路釣魚與惡意軟體滲透網路。

  • APT29 (Cozy Bear)——與俄羅斯情報機構有關，APT29 主要鎖定外交與政府單位，利用複雜惡意軟體與隱密技術來竊取資料。

  • Lazarus Group——普遍認為與北韓有關，Lazarus 曾執行從金融竊盜到針對媒體與娛樂產業的破壞性攻擊等多種行動。

APT 案例研究
進階持續性威脅組織已在多個產業執行了大量複雜的網路攻擊。以下高知名度案例展示了他們的手法與影響。
 
  • 對一家美國大型保險公司的網路攻擊: 2021 年 3 月，一家位於美國的領先保險公司遭受勒索軟體攻擊，導致多項服務中斷。攻擊者利用勒索軟體加密檔案並竊取資料，影響超過 75,000 名個人。此次資料外洩事件需要耗費高昂成本與數月時間進行調查、法律應對與補救工作，以保護受影響系統並通知受影響客戶。

  • 對某國能源基礎設施的入侵: 2023 年，一場協調性的攻擊鎖定了丹麥能源產業中的 22 家公司，並利用防火牆漏洞進行入侵。攻擊者未經授權存取了部分公司的工業控制系統，導致重大作業中斷。

  • 對大型醫療機構 IT 服務的入侵: 2024 年 2 月，一場重大網路攻擊鎖定了一個醫療 IT 服務單位，導致病患照護中斷，並造成受保護健康資訊遭竊。攻擊者利用勒索軟體加密檔案並竊取資料，估計影響了 1.9 億人。
這些案例展現了 APT 威脅持續演變且長期存在的特性，凸顯所有產業都需要強大的 APT 網路安全防護措施。

偵測及回應 APT

APT 網路安全性攻擊被設計成融入正常網路活動，因此很難被標準安全性工具偵測。但如果知道該注意什麼，仍然會有警訊存在。

入侵指標 (IoCs)
IOC 是惡意活動留下的痕跡。對於 APT 攻擊，這些目標可能包括:
 
  • 異常的登入模式，例如從意料之外的位置登入，或在不尋常的時間登入。
  • 內部系統與外部伺服器之間出現非預期的網路流量。
  • 出現未知或可疑的檔案、指令碼或使用者帳戶。 
  • 使用通常與攻擊者相關的工具，例如憑證傾印工具或橫向移動架構。
  • 資料外洩的跡象，包括大量或無法解釋的對外傳輸。
及早辨識這些訊號，能縮短攻擊者在您環境中的停留時間，降低潛在損害。

偵測 APT 活動的策略
偵測 APT 需要結合技術、流程與人員。有效的策略包括:
 
  • 異常偵測——監控偏離既有基準的活動，例如資料存取突然增加或異常的系統管理動作。

  • 網路威脅情報——利用最新的威脅情報來源，掌握最新攻擊技術、工具與威脅行為者輪廓。

  • 端點與網路監控——部署能夠對 端點、雲端服務與網路流量提供可視性的工具，以協助即時偵測入侵跡象。

  • 主動式 網路威脅搜捕——即使沒有觸發任何警示，也會主動搜尋環境中的隱藏威脅。
將這些方法結合在一起，能強化您及早發現 APT 活動的能力，在其造成長期損害之前及早阻止。

回應 APT 攻擊
如果偵測到 APT 網路安全性攻擊，迅速採取動作並遵循適當步驟至關重要，以重新取得控制權、修補安全性漏洞，並從事件中學習以建立更具韌性的安全性防護。
 
  • 遏止: 隔離受影響的系統或帳號，以防止進一步擴散。

  • 調查: 分析記錄、流量與系統行為，以了解攻擊者的移動方式、目標與手法。

  • 補救: 移除惡意工具、修補遭利用的漏洞，並還原受影響系統。

  • 復原與檢討: 恢復正常作業，同時進行完整的事件後檢討，以強化防禦並防止再次發生。

防範 APT

防範進階持續性威脅不只是依靠單一工具或產品。這需要採用多層次的安全性方法。由於 APT 群組會使用多種戰術來滲透並持續存在於網路中，因此防禦它們意味著必須在人員、流程與技術各方面補上漏洞:
 
  • 訓練員工辨識常見攻擊途徑，並做出適當回應。

  • 建立能降低暴露風險並提升韌性的原則與流程。

  • 使用最新的安全性工具，在整個數位環境中提供可視性、偵測與防護能力。
     
像 受控偵測與回應 (MDR) 服務 這類解決方案，結合了技術與人工專業能力。

APT 防範最佳做法
雖然沒有任何防禦是完美的，但以下最佳做法能大幅降低 APT 攻擊發生的可能性與影響:
 
  • 定期軟體更新與修補程式管理: 保持系統、應用程式與韌體為最新狀態，以修補已知漏洞。許多 APT 攻擊都是利用未修補的弱點成功入侵。

  • 員工訓練以防範網路釣魚 : 教導員工如何辨識可疑電子郵件與訊息，尤其是針對特定個人設計的魚叉式網路釣魚攻擊。

  • 網路分段與最低權限存取權: 透過分割網路與僅授予使用者完成工作所需的權限，限制攻擊擴散。這可讓攻擊者更難在環境中橫向移動。

  • 監控與 事件回應 規劃: 實作持續監控以偵測可疑活動，並維持經過充分演練的事件回應計畫。這能確保團隊在偵測到攻擊時知道如何迅速採取動作。
     
防範 APT 並不是要消除所有風險。而是提高攻擊者的門檻、讓他們更難得手，並增加您提早發現他們的機會。透過分層式方法，組織能建立縱深防禦策略，即使面對複雜威脅，也能保護關鍵資產。

APT 的新興趨勢

APT 群組不斷演變。當防禦方改善工具與流程時，攻擊者也會調整技術，尋找新的方法來繞過安全性控制並維持存取權。

新興 APT 技術
新式 APT 攻擊者越來越傾向混合多種戰術，將技術性漏洞利用與社交工程及供應鏈攻擊結合，以接觸目標。一些新興趨勢包括:
 
  • 更加複雜的網路釣魚攻擊活動，會利用詳細的個人或組織資料來製作極具說服力的誘餌。

  • 就地取材技術，指攻擊者利用環境中原本就存在的合法工具與流程，以避免被偵測。
     
  • 更加依賴供應鏈入侵，其中第三方供應商或軟體更新成為初始入侵媒介。
這些變化使得僅依賴傳統防禦 (例如防毒軟體或周邊式安全性) 變得更加困難。

透過新興技術進行偵測與防護
新興技術同時在攻擊與防禦兩方面扮演角色。
  隨著攻防雙方技術持續進步，人為因素仍然是防禦攻擊的核心。安全性團隊必須保持資訊更新並具備調適能力，才能跟上不斷演變的威脅。

鎖定物聯網 (IoT) 和雲端環境的 APT
APT 的受攻擊面正在擴大。隨著越來越多組織採用 IoT 裝置與雲端服務，攻擊者也正在擴大其目標範圍。
 
  • IoT 裝置: 這些裝置通常缺乏強大的安全性控制，因此很容易成為大型網路的進入點。

  • 雲端環境: 隨著工作負載與資料轉移至雲端，APT 攻擊者正開發新的技術，以入侵雲端身份、設定錯誤的資源，以及 SaaS 平台。
防禦這些趨勢意味著必須擴展您的 安全性態勢，不只是保護地端系統，而是涵蓋整個數位生態系統。

防範 APT 的 Microsoft 安全性解決方案

Microsoft Defender 全面偵測回應可協助組織在整個數位環境中偵測、調查與回應進階持續性威脅。透過整合端點、身分識別、電子郵件、雲端應用程式等多種訊號，Microsoft Defender 全面偵測回應提供統一的威脅視圖，可協助安全性團隊打破資訊孤島並快速採取動作。

為強化您對 APT 的防禦，並在安全性旅程中邁出下一步，請探索 Microsoft Defender 全面偵測回應 和 Microsoft 安全性統一安全性作業解決方案。
資源

深入了解 Microsoft 安全性

  1.
一名男子將膝上型電腦展示給另外兩名女性
產品

使用 Microsoft Defender 全面偵測回應保護整個企業

保護您的端點、身分、雲端應用程式和資料免於網路攻擊。
深入了解
使用平板電腦工作的女人
解決方案

整合安全性作業

使用端到端安全性作業平台來排除網路威脅。
深入了解
一名女性看著手機，面帶微笑
威脅防護入口網站

網路安全性與 AI 新聞

探索網路威脅保護和網路安全性 AI 的最新趨勢和最佳做法。
取得最新資源
一個人看著膝上型電腦
情報報告

2024 數位防禦報告

取得威脅情報格局的最新見解，以及來自 Microsoft 專家的指導。
取得報告
返回 [合作夥伴解決方案] - 啟用 [智慧工廠] 索引標籤區段

常見問題集

  • 進階持續性威脅 (APT) 是長期且具針對性的網路攻擊，由資金充足的攻擊者執行，通常與國家或有組織團體有關。APT 的重點在於滲透特定組織，並持續維持對敏感性系統或資料的未授權存取，目的通常是間諜活動、竊取或破壞。與機會型攻擊不同，APT 使用複雜工具與技術 (包括自訂惡意軟體、社交工程與零時差漏洞) 來避免被偵測並達成目標。
  • 一個知名的進階持續性威脅案例發生於 2024 年 2 月，當時某大型醫療機構的 IT 服務遭到入侵。這場網路攻擊中斷了病患照護，並導致受保護健康資訊遭到竊取。攻擊者使用勒索軟體加密檔案並竊取資料，估計影響了 1.9 億人。
  • 進階持續性威脅 (APT) 是一種網路攻擊，而進階威脅防護 (ATP) 則是用來偵測與防禦這類威脅的工具與策略。APT 描述的是攻擊者的方法，重點在於長期且具針對性的攻擊作業。相較之下，ATP 包含像 Microsoft Defender 這類安全性解決方案，可協助組織辨識、調查並回應這些攻擊。雖然這兩個縮寫聽起來相似，但它們代表的是網路安全性領域中相對的兩個面向。
  • 進階持續性威脅攻擊的主要目標，是在不被察覺的情況下，取得並長期維持對目標系統或資料的未授權存取。攻擊者通常試圖竊取敏感性資訊、進行間諜活動、干擾作業，或破壞關鍵基礎結構。與快速且機會型的攻擊不同，APT 高度具針對性且經過周密規劃，更著重於長期潛伏與戰略性影響。

關注 Microsoft 安全性

Surface Pro Surface Laptop 探索 Copilot Microsoft 365 探索 Microsoft 產品 Windows 11 應用程式 帳戶設定檔 下載中心 Microsoft Store 支援 退貨/退款 訂單追蹤 Microsoft 教育 教育裝置 Microsoft Teams 教育版 Microsoft 365 教育版 Office 教育版 教育工作者訓練和發展 學生和家長優惠 Azure 學生版
Microsoft AI Microsoft 安全性 Azure Dynamics 365 Microsoft 365 Microsoft Advertising Microsoft Copilot Microsoft Teams Microsoft 開發人員工具 Microsoft Learn 支援 AI 市場應用程式 Microsoft 技術社群 Microsoft Marketplace Microsoft Power Platform 軟體公司 Visual Studio 人才招募 公司新聞 Microsoft 隱私權 投資者
中文（台灣） 消費者健康情況隱私權 連絡 Microsoft 隱私權 管理 Cookie 使用規定 商標 有關我們的廣告訊息