高级持续性威胁 (APT) 是一种复杂的网络威胁类别，通常由国家支持，其特点是持续时间长、隐秘性强且有针对性强。APT 通常针对拥有高价值信息的实体，例如国防、制造业或金融部门。
高级持续性威胁 (APT) 的历史背景
高级持续性威胁 (APT) 的概念出现于 2000 年代后期，随着“极光行动”的公开披露，这一概念在 2010 年左右变得更加主流。“极光行动”是中国 APT 组织发起的一系列网络攻击。他们针对包括谷歌在内的多家知名公司，窃取知识产权并入侵用户账户。该事件标志着网络安全领域的范式转变，揭示了 APT 的复杂性和可能造成的损害。
高级持续性威胁 (APT) 剖析
APT 通常涉及未经授权实体入侵网络，且该实体在很长一段时间内都未被发现。其动机通常是数据窃取或间谍活动，APT 团体使用复杂的战术、技术和程序 (TTP) 进入网络、保持隐蔽并实现其目标。
APT 生命周期通常包括以下阶段：
-
初始访问：APT 组织通常通过鱼叉式网络钓鱼、利用漏洞或使用恶意软件来访问网络。
-
建立立足点：一旦进入内部，该组织便开始行动，建立后门以确保继续访问。
-
权限提升：威胁行为者试图获取更高级别的权限，以实现更深层次的网络访问。
-
内部侦察：入侵者探索网络，确定有价值数据所在的位置。
-
横向运动：该组织在网络上扩大其影响力，利用更多的系统。
-
数据泄露：提取有价值的数据并发送回攻击者的服务器。
-
坚持：即使在达到目标之后，该组织仍然留在网络中，经常不被注意，随时准备再次发动袭击。
高级持续性威胁 (APT) 的主要特征
APT攻击的特点是：
-
高级方法：使用复杂的技术、恶意软件并利用零日漏洞。
-
坚持：APT 会在系统中驻留很长时间（通常是数月或数年）来实现其目标。
-
隐身：他们秘密行动，采用与常规网络流量相融合的方法。
-
有针对性的攻击：APT 通常针对具有有价值信息的特定组织或部门。
-
由民族国家或大型犯罪实体资助：APT 通常拥有大量资源，因此极难防御。
高级持续性威胁 (APT) 的类型
由于 APT 经常重叠和演变，因此没有明确的分类系统。不过，人们通常根据其来源或目标偏好来识别它们，例如：
| APT 组织名称 | 相信起源 | 典型目标 |
|---|---|---|
| APT28（花式熊） | 俄罗斯 | 政府、军队和安全组织 |
| APT29（舒适熊） | 俄罗斯 | 智库、非政府组织、与选举过程相关的系统 |
| APT3（哥特熊猫） | 中国 | 国防、电信和高科技行业 |
| APT33（Elfin） | 伊朗 | 石化、航空和关键基础设施 |
利用和防御高级持续性威胁 (APT)
APT 因其隐秘性、潜在危害性而具有较高的风险，因此，防御 APT 需要采取全面、主动的方法：
-
教育：培训员工识别并应对潜在威胁，例如网络钓鱼电子邮件。
-
定期修补和更新：保持系统和软件更新可降低漏洞被利用的风险。
-
网络分段：如果攻击者获得访问权限，则限制网络内的移动。
-
威胁追踪：主动寻找网络内的威胁，而不是等待警报。
-
高级安全工具：使用复杂的工具，例如 SIEM、EDR 和 AI 驱动的威胁检测。
与类似术语的比较
| 学期 | 描述 |
|---|---|
| 高级持续威胁 (APT) | 来自资源充足的攻击者的长期有针对性的攻击 |
| 恶意软件 | 恶意软件的统称，不一定是高级或持久的 |
| DDoS 攻击 | 旨在破坏网络或服务器的攻击，通常不隐秘或持续 |
| 鱼叉式网络钓鱼 | 有针对性的网络钓鱼尝试通常被用作 APT 的载体，但本身并不是 APT |
与 APT 相关的未来前景和技术
随着网络防御能力的提高，APT 策略也在不断改进。我们很可能会看到人工智能和机器学习在 APT 攻击和防御中的应用增加。“Living-off-the-land”攻击也可能会增加，威胁行为者会使用目标网络中的合法工具进行攻击，这会让检测变得更加困难。
代理服务器与高级持续性威胁 (APT) 的关联
对于 APT 来说，代理服务器可能是一把双刃剑。一方面，它们可以通过掩盖网络的 IP 地址来增强安全性，使 APT 组织更难识别和锁定它们。另一方面，APT 组织可以使用代理服务器隐藏其位置和身份，使其检测和归因更加困难。
对于像 OneProxy 这样的代理服务器提供商来说，实施严格的安全措施（包括流量监控和异常活动检测）至关重要，以确保他们的服务不会被威胁行为者滥用。
