高级持续性威胁）是一种有针对性的攻击，攻击者技术娴熟，能够入侵网络并长时间隐藏自身。
他们会利用一系列现代技术工具，并结合人为决策，而且许多攻击者都擅长研究系统，从而悄无声息地获取访问权限。 在他们收集有价值的数据之前。
你需要了解的是：
- APT 是一种长期、有针对性的网络攻击，它利用隐蔽手段和人为操作。这些组织专注于潜伏在网络内部，而不是造成快速破坏。
- 攻击者依靠网络钓鱼、零日漏洞利用、社会工程学和人工智能辅助等手段来获取并维持访问权限。
- APT 主要针对组织，但个人也可能因数据泄露或设备已泄露受到影响。
- 大规模数据泄露通常包含个人信息，攻击者会重复利用或出售这些信息。
- APT 攻击分阶段进行，许多现代组织现在使用人工智能来重建访问权限，以防防御者阻止部分攻击。
- 用户可以通过更新设备、养成良好的计算机安全习惯以及使用基于行为的安全工具来降低风险。
- 最近的 APT 案例凸显了供应链攻击和更贴近现实的社会工程学攻击。
APT 在网络安全中的含义是什么？
高级持续性威胁 (APT)是一种有针对性的攻击，威胁者获取系统访问权限并长期驻留其中。
高级”一词指的是攻击者用于入侵的工具和技术。零日漏洞利用、自定义恶意软件和人工智能辅助方法都是欺骗者常用的手段。持久”意味着攻击者一旦入侵就不会离开。他们会持续监控系统，并在防御者将其阻止后重新建立访问权限。他们会根据需要调整和改进攻击策略。
现代APT攻击并非完全自动化。人工操作员会引导攻击并对防御措施做出反应，从而实现更具针对性的攻击。人工智能的作用日益凸显，它使攻击者能够更快地行动，并以更少的精力维持存在。它还可以帮助他们隐藏身份并逃避检测。
网络安全领域对APT攻击的经典描述通常列出五个阶段，但这些阶段仍在不断演变。新型攻击通过自动化和灵活的命令与控制方法，增加了人工智能驱动的持久性，即使部分攻击活动被发现，攻击者也可能继续留在系统中。
为什么人为因素至关重要
大多数APT攻击始于有人被欺骗。社交工程学为攻击者提供了可乘之机，它仍然是获取访问权限最可靠的方法之一。
即使拥有强大的技术防御，如果攻击者诱使一个人点击链接或泄露少量信息，也可能被突破。
现代网络攻击手段日趋先进，不再像以往那样广撒网。如今，鱼叉式网络钓鱼信息会利用真实的商业信息或窃取的电子邮件往来。人工智能生成的文本能够使其看起来真实可信且专业。
诱饵攻击也随之演变。攻击者可能会使用伪造的云端登录页面和模仿内部系统的紧急通知。这些技术使得用户更难识破陷阱，尤其当信息看似来自同事或值得信赖的合作伙伴时。
在许多APT攻击的早期阶段，人为因素起着决定性作用。一时的疏忽或一条精心设计的诈骗信息都可能让攻击者获得所需的访问权限，从而潜入网络。
APT攻击是如何运作的？
APT攻击分为一系列阶段，攻击者通过这些阶段进入网络并在不引起注意的情况下进行操作。大多数攻击都遵循一个熟悉的模式：
第一阶段：获取访问权限
获取访问权限是第一步。网络犯罪分子通常通过网络、受感染的文件、垃圾邮件或应用漏洞条目目标网络，从而植入恶意软件。现代技术意味着这一阶段通常可以自动化完成。攻击者会自动化攻击，同时测试多个条目点，并在安全工具拦截攻击后调整策略。
第二阶段：建立据点
网络罪犯植入恶意软件，它允许创建一个由后门和通道组成的网络，用于在系统中悄无声息地四处移动。恶意软件通常采用重写代码等技术，以帮助黑客掩盖他们的痕迹。
现代的入侵手段旨在抵御移除尝试，并可能自动重新安装。有些攻击者会在防御者介入时切换到新的访问路径。
第三阶段：深入访问
一旦成功入侵，黑客将使用密码破解等技术来获取管理员访问权限，使其能够更大范围地控制系统并获得更高级别的访问权。如今，自动化工具和脚本也能辅助这一过程，它们可以映射权限，并在访问受到限制或监控时快速调整。这使得清除攻击者变得更加困难。
第四阶段：横向移动
利用管理员权限更加深入到系统内部之后，黑客就可以随意移动了。他们还可以尝试访问其他服务器和网络的其他受保护部分。这也是更多欺骗者为了更深入地了解系统并扩大立足点而采用自动化手段的另一个领域。
第五阶段：观察、学习和潜伏
一旦进入系统，攻击者就会深入了解系统的工作原理和弱点所在。这使他们能够悄无声息地收集所需信息。同时，他们还会适应安全措施，并使用高级隐藏技术尽可能长时间地留在系统内。
攻击者如何入侵并获得控制权？
APT 组织通常从寻找单个弱点开始，然后逐步利用它。这可能是公司系统、个人设备或人们每天使用的在线服务中的缺陷。
他们的攻击手段越来越逼真。零日漏洞利用尚未修复的软件缺陷，可以影响企业软件和消费者应用程序。水坑攻击则涉及感染特定用户群体经常访问的网站。诱饵攻击也日趋复杂，现在通常包括伪造的云登录页面或看似真实的紧急系统提示，旨在欺骗员工和个人用户。
许多APT攻击并非直接针对主要目标。相反，攻击者通常首先入侵小型服务提供商或广泛使用的软件工具。然后，他们可以攻击依赖这些服务的组织和个人用户，尤其是在工作账户和个人账户或设备关联的情况下。
攻击者通常通过安装后门或远程shell来建立立足点。这些工具可以帮助他们随时重新连接到系统，并阻止任何移除其访问权限的尝试。之后，诈骗者通常会利用系统内部的漏洞来扩大访问权限。他们还会提升权限，以控制更多系统。
攻击者如何移动、隐藏并维持长期访问权限
一旦攻击者获得更强的访问权限，他们便会开始探索连接的系统、账户和通信工具，同时保持隐蔽。这可能包括企业服务器、云服务，甚至通过工作设备或共享账户连接的家庭和个人网络。
他们的目标是了解环境的运作方式，以及如何在造成损害的同时保持不被察觉。这使他们有更多时间访问个人信息、关联的用户帐户以及与组织和个人相关的其他敏感数据。
攻击者依赖于难以留下痕迹的技术。他们可以篡改日志，有时还会使用在内存中运行的复杂无文件恶意软件。一些攻击者会通过加密通道进行通信，这些通道旨在与正常流量混为一谈。我们还发现，攻击者利用人工智能辅助的持久化技术，在安全工具做出反应时改变自身行为，并在访问权限被移除后重建访问权限。
最佳的防御措施也正在利用人工智能和机器学习进行反击。这些工具会搜索您的在线帐户和网络中的异常行为，并可能发现与您的正常使用不符的登录模式或数据活动。这一点至关重要，因为许多高级攻击并不依赖于明显的恶意软件。它们会伪装起来，伺机而动。
从个人安全的角度来看，这意味着现代防护的重点在于及早降低风险，而不是在出现问题后才做出反应。安全工具可以发现细微的警告信号，并在攻击者有时间进一步行动或保持连接之前限制其访问权限。
APT 防御措施仍在不断发展演进
一些防御措施仍在发展中。抗量子加密是一种新兴方法，旨在保护敏感数据免受未来可能突破现有加密标准的攻击手段的侵害。虽然大多数消费者无需自行设置，但服务提供商越来越多地在后台使用它来加强长期数据保护。
近期发生的事件表明，APT（高级持续性威胁）攻击手段的演变速度非常快，而且高级持续性威胁的定义也随着技术的发展而不断变化。最近的攻击利用了恶意软件更新，甚至使用深度伪造音频进行社会工程攻击。一些人对依赖网络内部合法工具的新型“借力打力”攻击技术感到担忧。每个案例都凸显了这些组织展现出的灵活性和耐心。
即使APT攻击看似已被终止，威胁也可能并未消失。攻击者通常会留下隐藏的后门和二次植入程序，以便日后卷土重来。了解APT的完整生命周期有助于组织和个人理解其威胁类型。
高级持续性威胁的攻击者是谁？
APT攻击通常由资源雄厚的大型组织而非单个黑客发起。
许多网络攻击都与国家项目有关，政府资助长期网络行动以收集情报或获取战略优势。
还有一些混合型攻击者模糊了政府支持的组织和犯罪网络之间的界限。此外，还有一些有组织的网络犯罪团伙，他们可能会使用APT攻击策略（以及其他许多策略）来窃取数据或勒索钱财。
这些攻击者通常专注于支持关键服务或存储大量敏感数据的行业。
他们为何发起APT攻击
APT组织并非千篇一律——他们发起攻击的原因各不相同。
有些组织专注于间谍活动和长期监控，以谋取政治利益。另一些组织则旨在短期内获取经济利益。他们的共同点是耐心和周密的计划。这些攻击旨在长期产生价值，而非追求短期胜利。
APT攻击会影响普通人吗？
APT攻击的影响通常会波及到普通用户，因为它往往是更大规模数据泄露事件的一部分。攻击者也可能攻击与组织有关联的人员。
个人如何成为间接受害者
当攻击者入侵公司或公共服务系统时，他们通常会获得大量个人记录的访问权限。即使您并非攻击目标，您的信息也可能在泄露事件中被泄露。至关重要
个人设备如何成为攻击的帮凶
个人和工作设备经常被用作攻击条目。一旦笔记本电脑或家庭网络已泄露，攻击者便可借此进入更大的环境，因为这些设备会连接到企业系统。随着越来越多的家庭依赖联网设备，家庭安全漏洞也可能使智能家居系统、个人网络和关联账户面临更广泛的攻击风险。
普通用户通常难以察觉APT活动的迹象
这是其设计使然。但一些迹象仍然可能出现，例如意外的登录警报、异常的账户活动以及设备运行速度异常缓慢。您还应该警惕那些看似高度个性化的重复钓鱼攻击。
忽视这些明显的警告信号会给攻击者更多时间隐藏自身，甚至增加账户长期被盗用或数据泄露的风险。
APT与普通恶意软件有何不同？
APT并非快速或广撒网式的攻击。它具有明确的目标，旨在隐蔽地长时间潜伏。
普通恶意软件通常会广泛传播并造成即时损害，但APT组织会选择特定的目标，并以细致精准的方式进行攻击，以避免被发现。实际上，它们与某些广撒网式的恶意软件攻击方式截然相反。
勒索软件攻击可能是一种高级持续性威胁 (APT)，其目的是锁定文件并在数小时内索要赎金。APT 攻击者倾向于悄无声息地访问系统，以便他们能够在数周甚至数月内研究系统并收集有价值的数据。他们会利用人类的决策能力以及防御者反应迅速而不断变化的技术。这种控制程度使他们区别于遵循固定脚本的普通恶意软件。
如何检测高级持续性威胁
由于高级持续性威胁的活动旨在融入正常行为，因此检测起来更加困难。但这并不意味着它总是完美无缺或无法检测，许多迹象仍然可以提前发出警告。警惕异常行为：
- 在不寻常的时间访问文件
- 意外或无法解释的数据传输
- 从陌生位置登录的帐户
- 设备性能变慢
- 网络使用率过高
- 未经您允许的设置更改也可能表明存在问题
您还应该检查是否存在您未安装的陌生应用程序或后台任务。监控重要文件和配置可以帮助您及早发现细微的变化，防止攻击者进一步扩散。
传统的防病毒软件和防火墙严重依赖已知的恶意软件特征码。我们的安全工具已经转向基于行为和人工智能驱动的监控，寻找异常行为，而不仅仅是扫描熟悉的威胁。
卡巴斯基专业的威胁检测和病毒检查与清除功能可以帮助保护消费者，并清除任何突破防御的威胁。
安全警报和账户监控
为您的重要账户启用登录警报，以便在有人试图登录您的账户时收到警告。检查所有在线账户和工具的活动日志，以确认只有您本人登录。如果有人试图使用被盗的凭证，这些警报可以为您提供早期预警。
辅助检测工具
使用先进的安全软件，该软件不仅监控已知的恶意软件特征码，还能监控可疑行为。基于行为和人工智能的工具可以更快地检测到异常情况，并阻止攻击者进一步入侵您的系统。
始终启用自动更新，以便您的设备拥有针对新型APT技术的最新保护。卡巴斯基的工具还可以保护您免受网络犯罪分子创建的虚假网站和电子邮件的侵害，这些网站和电子邮件旨在窃取您的身份和金钱。
个人如何保护自己免受APT攻击？
定期软件更新、多因素身份验证、强密码和持续的钓鱼意识可以消除这些组织赖以生存的许多漏洞。
即使只阻止一次攻击尝试，也能阻止攻击者获得深入网络所需的访问权限。虽然这些攻击通常针对大型组织，但个人习惯仍然至关重要。我们需要全方位的强大防御措施。主页设备、个人电子邮件帐户和重复使用的密码通常是攻击者用来入侵大型系统的薄弱环节。
使用现代安全软件可以降低风险。如今的工具不再侧重于发现已知的恶意软件，而是更注重限制可疑行为和防止未经授权的更改。这有助于随着时间的推移减少风险，而不是在损害发生后才做出反应。
得益于技术进步，新的保护方法也在不断涌现。一些平台现在使用基于区块链的跟踪技术来创建防篡改的系统活动和文件更改记录。通过以无法悄悄更改的方式记录事件，这些系统使得攻击者在获得访问权限后更难隐藏更改或改写历史记录。这些技术使得攻击者更难篡改文件或隐藏其活动。
如果怀疑系统遭到入侵该怎么办？
如果您认为您的设备或帐户已被已泄露，最重要的是迅速采取行动。
首先断开网络连接。使用安全设备更改密码，并检查账户活动，查看是否有不熟悉的登录或设置。使用能够检测异常行为和最新威胁的软件进行全面安全扫描。
如果问题反复出现，或者敏感账户遭到访问，务必了解高级攻击者可能已留下隐藏的后门。即使某些问题看似已修复，这些后门也能让他们重新获得访问权限。
如果入侵迹象反复出现，彻底擦除设备并重新安装系统可能是最安全的选择。这可以清除难以检测且可能持续威胁您安全的隐藏工具。
良好的网络安全习惯仍然至关重要。尽可能启用多因素身份验证以确保安全。检查账户活动，查找您不认识的登录信息或恢复选项。
近期APT攻击案例揭示了这些攻击的运作方式
这并非抽象的威胁。近期发生的APT事件清晰地展现了真正的攻击者如何在网络中悄无声息地移动。
2020年以来的重大事件
SolarWinds：
最受关注的案例之一是2020年的SolarWinds Orion攻击事件。攻击者被发现“能够对SolarWinds Orion产品进行恶意的修改，从而能够向任何受影响的安装发送管理员级别的命令”。
当客户安装该更新时，他们不知不觉地将远程访问权限授予了攻击者，使其能够访问内部网络。攻击者会选择目标受害者进行更深入的攻击，并使用其他工具来扩大访问权限并保持持久性。
MOVEit：
最近，2023 年的 MOVEit 数据泄露事件凸显了托管文件传输工具的风险。一个勒索软件组织利用 MOVEit 软件中的零日漏洞，在暴露的服务器上安装 Web Shell，然后在问题公开之前悄悄窃取了数千家组织的数据。
这些事件给消费者带来了哪些启示
它们表明，攻击者并非总是直接攻击个人。他们通常会入侵受信任的软件或服务提供商，然后利用这种地位同时攻击多个组织。
同样，这些事件也展示了多阶段持久化攻击的实际运作方式。这些案例表明，攻击者会安装后门或使用隐藏的 Web Shell。他们会在不同的系统中移动，以获取有价值的信息。
对于普通用户来说，教训很简单：你依赖的系统远不止你自己拥有的系统。养成良好的个人安全习惯，并在收到安全事件通知时迅速采取行动，都有助于随着时间的推移降低数据风险。
相关文章：
相关产品：
常见问题
APT 攻击者通常会在系统中停留多久？
APT攻击者可以在系统中潜伏数周甚至数年。他们的目标是尽可能长时间地不被发现，以便持续收集数据并监视组织的运作方式。
为什么APT攻击如此难以检测？
这类攻击难以检测，因为它们使用隐蔽的策略，例如自定义工具和看似正常的系统活动。攻击者将攻击嵌入到日常网络流量中。
APT 组织是否与特定国家有关联？
许多 APT 组织被认为与特定国家有关联或受其支持，而其他一些则是可能跨境活动的犯罪团伙。公开报告通常使用代号，而不是直接提及国家名称。
APT 攻击者如何选择目标？
他们通常会选择拥有重要数据或可以访问重要系统的目标。政府机构和大型公司比普通个人更容易成为攻击目标。有时，小型组织会成为攻击的先导，因为它们可以提供进入更大网络的途径。
