如何防範進階持續性威脅（APT）？

進階持續性威脅攻擊是一種網路攻擊類型，攻擊者會未經授權存取您的網路。接著，他們會入侵其中並在長時間內保持不被發現。APT 攻擊的目標是竊取有價值的資料、執行威脅偵察，並隨著時間推移破壞您組織的業務持續性。APT 攻擊經過精心設計，且執行時間非常長。

這類攻擊由技術嫻熟的駭客組織、國家級行為者及有組織的犯罪集團發動。眾所周知，這些團體會先建立穩固的立足點，然後在網路的不同部分之間橫向移動以蒐集情報。APT 攻擊難以防禦，因為它們能夠良好隱藏，而對手也會隨著時間推進調整並演進其戰術，以成功繞過組織日益增強的防禦。

什麼是進階持續性威脅（APT）？

進階持續性威脅 攻擊是以隱匿為基礎的網路攻擊，而且具有高度隱蔽性。在攻擊者蒐集到足夠關於您組織的情報之前，它們會持續隱藏。對手花在研究您基礎架構上的時間之長令人難以置信，而您甚至不會察覺。當您從未察覺其來襲時，就表示 APT 攻擊已經成功。

APT 攻擊之所以危險，是因為它們具有持續性，這表示攻擊者會持續監視目標，並嘗試以任何可能方式加以入侵。攻擊者也會探索不同的利用角度，查看其目標是否能被進一步入侵。這正是進階持續性威脅攻擊與一般網路攻擊不同之處。

APT 如何運作？

APT 攻擊可以是分層的，這也是它們與其他類型網路攻擊相比如此獨特的原因。攻擊者會量身打造其戰術，以蒐集有關目標的情報。他們會在規劃中投入大量時間與極高細節。在其他網路攻擊中，對手可能只是植入一些通用惡意軟體並廣泛散布，希望感染盡可能多的系統。但 APT 攻擊可以分為多個層次與階段。

他們可能會使用不同技術入侵您的網路，並在內部進行橫向移動。攻擊者可能會結合使用 社交工程 和 網路釣魚 電子郵件，誘騙使用者交出其敏感資訊。他們也可能利用軟體或硬體漏洞，進而取得網路存取權。

APT 攻擊難以對抗，因為它們具備適應性、持續變化，且可能採取與預期不同的角度。它們沒有可預測的模式，因此組織需要實施強大且多元的網路安全策略。這是掌握如何防範進階持續性威脅攻擊並加以防禦的唯一方法。

如何偵測進階持續性威脅？

您可以透過留意警示徵兆來偵測並了解如何防範進階持續性威脅攻擊。以下是一些需要注意的事項：

• 內部裝置對外部及其他網路的流量大幅激增或異常資料流，可能表示您的通訊已遭入侵。如果您的工作帳戶在正常營業時間之外被存取，且您注意到可疑登入，那麼您就知道答案了。
• APT 可以隱藏在背景中運作，並持續蒐集有價值的資訊。
• 反覆出現且建立後門的惡意軟體感染也是另一個徵兆。它們讓 APT 行為者有機會在未來加以利用。請留意會傳播惡意軟體的後門，尤其是那些持續反覆出現並滲透網路的後門。
• 若在資料本不應存在的位置突然出現數 GB 的資料封包，這是 APT 攻擊即將發生的明確指標。如果資料被壓縮為組織平常不使用的封存格式，您就知道必須立即開始調查。
• 如果您組織中的某些員工收到奇怪的電子郵件，則可能表示他們正成為攻擊目標。魚叉式網路釣魚電子郵件是 APT 攻擊者常用的手法，並構成初始入侵階段，而這是 APT 攻擊殺傷鏈中最關鍵的組成部分之一。
• 攻擊者也會花大量時間檢視並分析您的端點。他們也可能尋找您安全政策中的漏洞，並試圖利用任何缺陷與弱點，例如讓您的系統失去合規性。

預防與緩解 APT 攻擊的最佳實務

學習如何阻止進階持續性威脅攻擊的第一步，是了解它鎖定哪些資料類別，以及這些資料應如何分類。APT 攻擊會秘密竊取您的智慧財產相關資訊、造成金融犯罪與竊盜，並意圖摧毀您的組織。

駭客行動主義者也會試圖揭露您的業務並洩漏資訊。進階持續性威脅攻擊有三個階段：滲透、權限提升與橫向移動，以及資料外洩。 資料外洩 是最後一個階段，在此階段中，他們會在不被發現的情況下，從文件和資料中擷取資訊。他們可能會利用瓶頸與分散注意力的戰術製造大量雜訊，以誤導受害者。必須篩查 DNS 通道化，這使其更難被定位。

以下是預防與緩解 APT 攻擊的最佳實務：

• 首先監控您的網路參數，並使用最佳的端點安全解決方案。您應分析進站與出站流量，以防止建立任何後門，並阻止竊取資料的外傳嘗試。
• 安裝最新的 Web 應用程式防火牆、修補系統，並保持其為最新狀態。這將有助於您保護脆弱的攻擊面並將涵蓋範圍降至最低。
• 在處理這些威脅時，防火牆可以隔離應用程式層攻擊，並防止 RFI 和 SQL 注入嘗試。內部流量監控工具將提供細緻的可視性，有助於偵測異常流量行為。
• 您可以監控系統存取並防止敏感檔案分享。移除後門 shell，並透過阻止攻擊者的遠端請求通過，來偵測您基礎架構中的弱點。
• 允許清單可協助您管理網域，並將使用者可安裝的應用程式加入白名單。您可以透過限制應用程式安裝，以及限制其他可供利用的攻擊面，來降低 APT 攻擊的成功率。然而，此方法未必總是有效，因為即使是高度可信的網域也可能遭到入侵。
• 攻擊者可能會將惡意檔案偽裝成合法軟體。若要讓允許清單發揮作用，您需要強制執行嚴格的更新政策，讓使用者了解必須使用白名單中所有應用程式的最新版本。

APT 攻擊的真實案例

以下是一些 APT 攻擊的真實案例：

• 現實世界中 APT 攻擊的一個經典案例，是由 RAM Scraper 攻擊所造成的 Target Data Breach。這起事件發生於十年前，但成為歷史上最成功的進階持續性威脅攻擊之一。該惡意行為者利用遭入侵的供應商，未經授權存取目標的生態系統。他們設法進入目標的 POS 裝置，並在其網路中潛伏約三週，竊取了約 400 億張信用卡的足夠資訊。威脅行為者悄悄地移出如此大量的資料，而且是在一次傳輸中完成。
• KasperSky 發現由 Lazarus 旗下子群組發動的新型進階持續性威脅攻擊。攻擊者修改了一款名為 DTrack 的知名惡意軟體，並使用了全新的 Maui 勒索軟體。目標是全球各地的高知名度組織。該組織已擴大其攻擊地理範圍，並以其勒索軟體變種影響了公共與醫療保健組織。該惡意軟體以內嵌 shell code 的形式部署並執行。它載入了最終的 Windows 記憶體內承載程式。DTrack 透過一系列 Windows 命令蒐集系統資料與瀏覽器歷史記錄。在其活動被發現與偵測之前，於目標網路中的潛伏時間持續了數個月。
• LuckyMouse 組織使用 Mimi 訊息服務的木馬變種，取得對組織的後門存取權。他們鎖定 macOS、Windows 和 Linux 裝置，並至少劫持了台灣與菲律賓的 13 家公司。
• 一個由俄羅斯支持、名為 SEABORGIUM 的組織，也曾在歐洲進行長達五年的間諜活動。他們使用一系列網路釣魚電子郵件滲透 OneDrive 和 LinkedIn 帳戶。

結論

強大的存取控制將是您對抗進階持續性威脅（APT）的第一道防線。您也應使用 端點偵測與回應（EDR）以及延伸式偵測與回應（XDR）解決方案，以對抗 APT 威脅並即時掌握您基礎架構的可視性。滲透測試與流量監控是關鍵。透過提升組織偵測、回應及防禦 APT 攻擊的能力，您可以降低未來遭受攻擊的可能性。請從整體角度看待安全性，並確保已落實適當的網路衛生實務，如此一來，攻擊者便無法利用使用者的輕信，也無法利用潛在的系統缺陷與弱點，因為您能及早自行發現這些問題。