Hoe voorkomt u geavanceerde aanhoudende dreigingen (APT's)?

Een aanval met een geavanceerde aanhoudende dreiging is een cyberaanval waarbij een aanvaller ongeoorloofde toegang tot uw netwerk krijgt. De aanvaller dringt verder binnen en blijft lange tijd onopgemerkt. Het doel van een APT-aanval is waardevolle gegevens stelen, verkenning uitvoeren en de bedrijfscontinuïteit van uw organisatie verstoren. APT-aanvallen zijn zorgvuldig voorbereid en kosten veel tijd om uit te voeren.

Ze worden uitgevoerd door ervaren hackersgroepen, statelijke actoren en georganiseerde criminele organisaties. Deze groepen vestigen zich stevig in een netwerk en verplaatsen zich vervolgens lateraal om informatie te verzamelen. APT-aanvallen zijn moeilijk te bestrijden omdat ze verborgen blijven. Bovendien passen tegenstanders hun tactieken voortdurend aan om de groeiende verdediging van een organisatie te omzeilen.

Wat is een geavanceerde persistente bedreiging (APT)? zijn heimelijke cyberaanvallen die verborgen blijven totdat de aanvaller voldoende informatie over uw organisatie heeft verzameld. De hoeveelheid tijd die een tegenstander besteedt aan het onderzoeken van uw infrastructuur is verbluffend, en u merkt er niets van. U weet dat een APT-aanval succesvol is als u ze nooit ziet aankomen.

Wat is een geavanceerde aanhoudende dreiging (APT)?

APT-aanvallen zijn gevaarlijk omdat ze persistent zijn, wat betekent dat de aanvaller het doelwit in de gaten houdt en op alle mogelijke manieren probeert te compromitteren. De aanvaller onderzoekt ook verschillende manieren om misbruik te maken van kwetsbaarheden en kijkt of het doelwit verder kan worden gecompromitteerd. Dit is wat geavanceerde persistente dreigingsaanvallen onderscheidt van gewone cyberaanvallen.

zijn heimelijke cyberaanvallen. Ze blijven verborgen totdat de aanvaller voldoende informatie over uw organisatie heeft verzameld. Een tegenstander kan verrassend veel tijd besteden aan het onderzoeken van uw infrastructuur, zonder dat u iets merkt. Een APT-aanval is geslaagd als u de aanvaller nooit hebt zien aankomen.

Hoe werken APT's?

APT-aanvallen zijn gevaarlijk omdat de aanvaller volhardt: die houdt het doelwit in de gaten en probeert het op alle mogelijke manieren te compromitteren. De aanvaller onderzoekt ook verschillende manieren om kwetsbaarheden uit te buiten en verder binnen te dringen. Dat onderscheidt geavanceerde aanhoudende dreigingen van gewone cyberaanvallen.

APT-aanvallen kunnen gelaagd zijn, wat ze zo uniek maakt in vergelijking met andere soorten cyberaanvallen. De aanvaller past zijn tactieken aan om informatie over zijn doelwitten te verzamelen. Hij besteedt veel tijd en aandacht aan zijn planning. Bij andere cyberaanvallen plant de aanvaller misschien gewoon wat generieke malware en verspreidt hij die op grote schaal, in de hoop zoveel mogelijk systemen te infecteren. Maar een APT-aanval kan worden onderverdeeld in meerdere lagen en fasen.

Hoe werken APT's?

Ze kunnen verschillende technieken gebruiken om in te breken in uw netwerk en zich daar lateraal te verplaatsen. De aanvaller kan een combinatie gebruiken van social engineering en phishing e-mails gebruiken om gebruikers te misleiden en hen hun gevoelige informatie te laten prijsgeven. Ze kunnen misbruik maken van kwetsbaarheden in software of hardware om toegang te krijgen tot het netwerk.

APT-aanvallen kunnen uit meerdere lagen bestaan. Dat onderscheidt ze van andere cyberaanvallen. De aanvaller stemt de tactieken af op het doelwit om informatie te verzamelen en besteedt veel tijd en aandacht aan de voorbereiding. Bij andere cyberaanvallen verspreidt een tegenstander soms generieke malware in de hoop zo veel mogelijk systemen te infecteren. Een APT-aanval verloopt daarentegen in meerdere lagen en fasen.

APT-aanvallen zijn moeilijk te bestrijden omdat ze zich aanpassen, voortdurend veranderen en vanuit andere hoeken kunnen komen dan verwacht. Ze hebben geen voorspelbare patronen, dus organisaties moeten een sterke en veelzijdige cyberbeveiligingsstrategie implementeren. Dat is de enige manier om te leren hoe ze geavanceerde persistente bedreigingen kunnen voorkomen en zich kunnen verdedigen.

Aanvallers kunnen verschillende technieken gebruiken om uw netwerk binnen te dringen en zich er lateraal te verplaatsen. Ze kunnen een combinatie van social engineering en phishing-e-mails gebruiken om gebruikers gevoelige informatie te ontfutselen. Ook kunnen ze kwetsbaarheden in software of hardware uitbuiten om toegang tot het netwerk te krijgen.

Hoe detecteer je geavanceerde persistente bedreigingen?

APT-aanvallen zijn moeilijk te bestrijden omdat ze zich aanpassen, voortdurend veranderen en onverwachte vormen aannemen. Ze volgen geen voorspelbare patronen. Daarom hebben organisaties een sterke, veelzijdige cyberbeveiligingsstrategie nodig. Alleen zo kunnen ze APT-aanvallen voorkomen en zich ertegen verdedigen.

Je kunt geavanceerde persistente bedreigingen detecteren en leren voorkomen door alert te zijn op de waarschuwingssignalen. Hier zijn enkele zaken waar u op moet letten:

Hoe detecteert u geavanceerde aanhoudende dreigingen?

Grote pieken in het verkeersvolume of ongebruikelijke gegevensstromen van interne apparaten naar externe en andere netwerken kunnen een teken zijn dat uw communicatie wordt gecompromitteerd. Als er buiten de normale kantooruren toegang wordt verkregen tot uw werkaccounts en u verdachte aanmeldingen opmerkt, dan weet u het antwoord.

APT's kunnen op de achtergrond verborgen blijven werken en waardevolle informatie blijven verzamelen.

Terugkerende malware-infecties die achterdeurtjes creëren, zijn een ander teken. Ze bieden APT-actoren de mogelijkheid om in de toekomst misbruik te maken van de situatie. Zoek naar achterdeurtjes die malware verspreiden, vooral achterdeurtjes die steeds terugkomen en netwerken infiltreren.

Plotselinge databundels met gigabytes aan gegevens die verschijnen op locaties waar de gegevens niet aanwezig zouden moeten zijn, zijn een duidelijke aanwijzing voor een aanstaande APT-aanval. Als de gegevens zijn gecomprimeerd in gearchiveerde formaten die de organisatie normaal gesproken niet gebruikt, weet u dat u dit moet onderzoeken.

Als bepaalde medewerkers in uw organisatie vreemde e-mails ontvangen, is het mogelijk dat zij het doelwit zijn. Spear phishing-e-mails worden vaak gebruikt door APT-aanvallers en vormen de eerste fase van de inbraak, een van de meest kritieke onderdelen van de APT-aanvalsketen.

Aanvallers zullen ook veel tijd besteden aan het onderzoeken en analyseren van uw eindpunten. Ze kunnen ook op zoek gaan naar kwetsbaarheden in uw beveiligingsbeleid en proberen misbruik te maken van eventuele tekortkomingen en zwakke punten, bijvoorbeeld door uw systemen niet meer te laten voldoen aan de voorschriften.

Door waarschuwingssignalen te herkennen, kunt u APT-aanvallen detecteren en voorkomen. Let op het volgende:

Best practices om APT-aanvallen te voorkomen en te beperken

• Sterke pieken in het verkeersvolume of ongebruikelijke gegevensstromen van interne apparaten naar externe en andere netwerken kunnen wijzen op gecompromitteerde communicatie. Let ook op verdachte aanmeldingen en toegang tot werkaccounts buiten reguliere werktijden.
• APT's kunnen ongemerkt op de achtergrond actief blijven en waardevolle informatie verzamelen.
• Terugkerende malware-infecties die achterdeurtjes creëren, zijn een ander signaal. Ze geven APT-actoren de kans om die later uit te buiten. Let vooral op achterdeurtjes die malware verspreiden, steeds terugkeren en netwerken binnendringen.
• Gegevensbundels van gigabytes die plotseling verschijnen op locaties waar die gegevens niet thuishoren, zijn een duidelijke aanwijzing voor een APT-aanval. Zijn de gegevens gecomprimeerd in archiefformaten die uw organisatie normaal niet gebruikt? Onderzoek dit dan direct.
• Als bepaalde medewerkers vreemde e-mails ontvangen, zijn ze mogelijk doelwit. APT-aanvallers gebruiken vaak spearphishing-e-mails om voor het eerst binnen te dringen. Die eerste toegang is een van de belangrijkste onderdelen van de aanvalsketen van een APT.
• Aanvallers besteden ook veel tijd aan het onderzoeken en analyseren van uw endpoints. Daarnaast zoeken ze naar zwakke plekken in uw beveiligingsbeleid die ze kunnen uitbuiten, bijvoorbeeld door ervoor te zorgen dat uw systemen niet meer aan de vereisten voldoen.

De eerste stap om te leren hoe u een geavanceerde persistente dreiging kunt stoppen, is begrijpen op welke categorieën gegevens deze zich richt en hoe deze kunnen worden geclassificeerd. Een APT-aanval zal in het geheim informatie over uw intellectuele eigendom stelen, financiële misdrijven en diefstal veroorzaken en erop gericht zijn uw organisatie te vernietigen.

Best practices om APT-aanvallen te voorkomen en de gevolgen te beperken

Hacktivisten zijn er ook op uit om uw bedrijf bloot te stellen en informatie te lekken. Een geavanceerde persistente dreiging bestaat uit drie fasen: infiltratie, escalatie en laterale beweging, en exfiltratie. Data-exfiltratie is de laatste fase, waarin ze informatie uit documenten en gegevens halen zonder ontdekt te worden. Ze kunnen veel ruis produceren door bottlenecks en afleidingstactieken te gebruiken om slachtoffers te misleiden. DNS-tunneling moet worden gescreend, waardoor het moeilijk te lokaliseren is.

Om een APT-aanval te stoppen, moet u eerst begrijpen op welke gegevenscategorieën de aanval zich richt en hoe u die kunt classificeren. Een APT-aanval kan in het geheim informatie over uw intellectuele eigendom stelen, financiële criminaliteit en diefstal veroorzaken en uw organisatie schade toebrengen.

Hier zijn de best practices om APT-aanvallen te voorkomen en te beperken:

Hacktivisten willen uw bedrijf ook blootstellen en informatie lekken. Een APT-aanval kent drie fasen: infiltratie, escalatie en laterale verplaatsing, en exfiltratie. Gegevensexfiltratie is de laatste fase, waarin aanvallers ongemerkt informatie uit documenten en gegevens halen. Ze kunnen veel ruis veroorzaken met knelpunten en afleidingstactieken om slachtoffers op het verkeerde been te zetten. Controleer op DNS-tunneling, omdat die moeilijk te lokaliseren kan zijn.

Begin met het monitoren van uw netwerkparameters en gebruik de beste endpointbeveiligingsoplossingen. U moet inkomend en uitgaand verkeer analyseren om te voorkomen dat er achterdeurtjes worden gecreëerd en om pogingen tot het stelen van gegevens te blokkeren.

Installeer de nieuwste webapplicatie-firewalls en patchsystemen en houd deze up-to-date. Deze helpen u kwetsbare aanvalsoppervlakken te beveiligen en het dekkingsgebied te minimaliseren.

Bij het omgaan met deze bedreigingen kunnen firewalls aanvallen op de applicatielaag isoleren en pogingen tot RFI en SQL-injectie voorkomen. Interne tools voor verkeersmonitoring geven u een gedetailleerd overzicht dat u kan helpen bij het detecteren van abnormaal verkeersgedrag.

U kunt de toegang tot systemen monitoren en het delen van gevoelige bestanden voorkomen. Verwijder backdoor-shells en detecteer zwakke plekken in uw infrastructuur door te voorkomen dat externe verzoeken van aanvallers worden doorgelaten.

Met allowlisting kunt u uw domeinen beheren en apps die uw gebruikers kunnen installeren op de witte lijst zetten. U kunt het succespercentage van APT-aanvallen verlagen door de installatie van apps en andere aanvalsoppervlakken die voor hen beschikbaar zijn te beperken. Deze methode werkt echter niet altijd, omdat zelfs zeer betrouwbare domeinen kunnen worden gecompromitteerd.

Aanvallers kunnen kwaadaardige bestanden vermommen als legitieme software. Om allowlisting te laten werken, moet u een strikt updatebeleid hanteren, zodat uw gebruikers zich ervan bewust zijn dat ze de meest recente versie van alle apps op uw whitelists gebruiken.

Dit zijn de best practices om APT-aanvallen te voorkomen en de gevolgen te beperken:

Praktijkvoorbeelden van APT-aanvallen

• Begin met het monitoren van uw netwerkparameters en gebruik krachtige endpointbeveiliging. Analyseer inkomend en uitgaand verkeer om het ontstaan van achterdeurtjes te voorkomen en pogingen tot het wegsluizen van gestolen gegevens te blokkeren.
• Installeer de nieuwste firewalls voor webapplicaties, pas patches toe op systemen en houd ze up-to-date. Zo beschermt u kwetsbare aanvalsoppervlakken en verkleint u het aanvalsgebied.
• Bij deze dreigingen kunnen firewalls aanvallen op de applicatielaag isoleren en pogingen tot RFI- en SQL-injectie voorkomen. Tools voor het monitoren van intern verkeer bieden gedetailleerd inzicht om afwijkend verkeersgedrag te detecteren.
• Monitor de toegang tot systemen en voorkom dat gevoelige bestanden worden gedeeld. Verwijder backdoor-shells en ontdek zwakke plekken in uw infrastructuur door externe verzoeken van de aanvaller te blokkeren.
• Met allowlisting beheert u uw domeinen en bepaalt u welke apps gebruikers mogen installeren. Door app-installaties en beschikbare aanvalsoppervlakken te beperken, verlaagt u de slagingskans van APT-aanvallen. Deze methode werkt echter niet altijd: zelfs zeer betrouwbare domeinen kunnen worden gecompromitteerd.
• Aanvallers kunnen schadelijke bestanden vermommen als legitieme software. Voor effectieve allowlisting moet u een strikt updatebeleid handhaven, zodat gebruikers weten dat ze de nieuwste versie van alle toegestane apps moeten gebruiken.

Hier volgen enkele praktijkvoorbeelden van APT-aanvallen:

Voorbeelden van APT-aanvallen uit de praktijk

Een klassiek voorbeeld van een APT-aanval in de praktijk is het geval van het Target Data Breach door de RAM Scraper-aanval. Dit gebeurde tien jaar geleden, maar werd een van de meest succesvolle geavanceerde persistente dreigingsaanvallen in de geschiedenis. De kwaadwillende actor had misbruik gemaakt van een gecompromitteerde leverancier en had ongeoorloofde toegang gekregen tot het ecosysteem van het doelwit. Ze vonden hun weg naar de POS-apparaten van het doelwit en bleven ongeveer drie weken lang aan hun netwerken hangen, waarbij ze voldoende informatie over 40 miljard creditcards stalen. De daders hebben die hoeveelheid gegevens stilletjes weggehaald, en dat deden ze in één enkele overdracht.

KasperSky ontdekte nieuwe geavanceerde persistente dreigingsaanvallen die werden gelanceerd door een subgroep van Lazarus. De aanvallers hebben een bekende malware genaamd DTrack aangepast en ze gebruikten een gloednieuwe Maui-ransomware. De doelwitten waren vooraanstaande organisaties over de hele wereld. De groep had zijn aanvalsgebied uitgebreid en had met zijn ransomware-variant publieke en gezondheidszorgorganisaties getroffen. De malware werd ingezet en uitgevoerd als een ingebedde shellcode. Deze laadde een definitieve Windows In-Memory-payload. DTrack verzamelde systeemgegevens en browsergeschiedenis via een reeks Windows-opdrachten. De verblijftijd binnen de doelnetwerken duurde maanden voordat de activiteit werd ontdekt.

De LuckyMouse-groep gebruikte een Trojaanse variant van de Mimi-berichtendienst om achterdeuraccess tot organisaties te verkrijgen. Ze richtten zich op macOS-, Windows- en Linux-apparaten en hadden minstens 13 bedrijven in Taiwan en de Filippijnen gekaapt.

Een door Rusland gesteunde groep met de naam SEABORGIUM had ook vijf jaar lang spionageactiviteiten uitgevoerd in Europa. Ze gebruikten een reeks phishing-e-mails om OneDrive- en LinkedIn-accounts te infiltreren.

Dit zijn enkele voorbeelden van APT-aanvallen uit de praktijk:

Conclusie
• Een klassiek voorbeeld van een APT-aanval is het datalek bij Target door een RAM Scraper-aanval. Het gebeurde tien jaar geleden, maar werd een van de succesvolste APT-aanvallen ooit. De aanvallers misbruikten een gecompromitteerde leverancier en kregen ongeautoriseerde toegang tot de omgeving van Target. Ze drongen door tot de POS-apparaten en bleven ongeveer drie weken op de netwerken aanwezig, waarbij ze gegevens over 40 miljard creditcards stalen. De aanvallers voerden die enorme hoeveelheid gegevens ongemerkt af in één enkele overdracht.
• KasperSky ontdekte nieuwe APT-aanvallen van een subgroep van Lazarus. De aanvallers pasten de bekende malware DTrack aan en gebruikten de geheel nieuwe Maui-ransomware. Ze richtten zich op vooraanstaande organisaties wereldwijd. De groep had de geografische reikwijdte van haar aanvallen vergroot en met haar ransomware overheids- en zorginstellingen getroffen. De malware werd als ingebedde shellcode verspreid en uitgevoerd. Deze laadde een uiteindelijke Windows-payload in het geheugen. DTrack verzamelde systeemgegevens en browsergeschiedenis met een reeks Windows-opdrachten. De groep bleef maandenlang aanwezig in de doelnetwerken voordat haar activiteiten werden gedetecteerd.
• De groep LuckyMouse gebruikte een trojanvariant van de berichtendienst Mimi om via een achterdeurtje toegang tot organisaties te krijgen. Ze richtten zich op apparaten met macOS, Windows en Linux en hadden minstens 13 bedrijven in Taiwan en de Filipijnen getroffen.
• Een door Rusland gesteunde groep met de naam SEABORGIUM voerde vijf jaar lang spionageactiviteiten uit in Europa. De groep gebruikte een reeks phishing-e-mails om toegang te krijgen tot OneDrive- en LinkedIn-accounts.

Sterke toegangscontroles vormen uw eerste verdedigingslinie tegen geavanceerde persistente bedreigingen (APT's). U moet ook gebruikmaken van endpoint detection and response (EDR) en extended detection and response (XDR)-oplossingen om APT-bedreigingen te bestrijden en realtime inzicht te krijgen in uw infrastructuur. Penetratietesten en verkeersmonitoring zijn essentieel. Door het vermogen van uw organisatie om APT-aanvallen te detecteren, erop te reageren en zich ertegen te verdedigen te verbeteren, kunt u de kans op toekomstige aanvallen verkleinen. Bekijk beveiliging als een geheel en zorg ervoor dat de juiste cyberhygiënepraktijken worden toegepast, zodat aanvallers niet kunnen profiteren van de goedgelovigheid van uw gebruikers en geen misbruik kunnen maken van mogelijke systeemfouten en kwetsbaarheden, omdat u deze zelf vroegtijdig ontdekt.

Conclusie

Strenge toegangscontroles vormen uw eerste verdedigingslinie tegen geavanceerde aanhoudende dreigingen (APT's). Gebruik daarnaast endpointdetectie en -respons (EDR) en oplossingen voor uitgebreide detectie en respons (XDR) om APT-dreigingen te bestrijden en realtime inzicht in uw infrastructuur te krijgen. Penetratietests en monitoring van netwerkverkeer zijn essentieel. Door APT-aanvallen beter te detecteren, erop te reageren en u ertegen te verdedigen, verkleint uw organisatie de kans op toekomstige aanvallen. Benader beveiliging als geheel en zorg voor goede cyberhygiëne, zodat aanvallers de goedgelovigheid van uw gebruikers niet kunnen uitbuiten of misbruik kunnen maken van mogelijke systeemfouten en kwetsbaarheden die u zelf vroegtijdig ontdekt.