APT攻撃(APTこうげき、英:Advanced Persistent Threat、持続的標的型攻撃)はサイバー攻撃の一分類であり、標的型攻撃のうち「発展した/高度な(Advanced)」「持続的な/執拗な(Persistent)」「脅威(Threat)」の略語で長期間にわたりターゲットを分析して攻撃する緻密なハッキング手法、または集団。「ターゲット型攻撃(APT)」とも訳される。

独立行政法人 情報通信研究機構(NICT)のサイバー攻撃対策総合研究センター(CYREC)では「特定の相手に狙いを定め、その相手に適合した方法・手段を適宜用いて侵入・潜伏し、数か月から数年にわたって継続するサイバー攻撃」としている。世界のセキュリティー業界では、組織名不明のクラッカー組織を見つけると、イランに拠点を置くハッカー組織APT33、ロシアのAPT29、北朝鮮のAPT38のように「APT+数字」で名前を付ける。

## 経緯

特定の組織内の情報を窃取するためのコンピュータウイルスやマルウェアが標的型脅威(Targeted threat)と分類され、これらを用いるサイバー攻撃が標的型攻撃と呼ばれるようになり、無差別に行われる他のサイバー攻撃と区別していた。

2005年7月には、標的型攻撃の中でも、高度な技術を駆使するものについての警告がイギリスのUK-NISCCとアメリカのUS-CERTから発行された
。ただし、当時はまだAPT(Advanced Persistent Threat)という用語は用いていなかった。

最初にAPT(Advanced Persistent Threat)という用語を用いたのは、2006年、アメリカ空軍においてであったという。
正体不明の敵による攻撃について論じる際に、この用語は適していたという
。

今日、APT攻撃は、標的型攻撃の中で区別されるようになっている
。

2010年1月、Googleの中国拠点等において発生した「オーロラ作戦(Operation Aurora)」という一連の攻撃事件が話題になった
。

2010年6月、中東の原子力施設を狙った「スタックスネット(Stuxnet)」というコンピュータワームが発見された。

2010年12月に独立行政法人 情報処理推進機構(IPA)から内容的にAPT攻撃についてのレポートが公開された
。

2013年4月に独立行政法人 情報通信研究機構(NICT)が設立した「サイバー攻撃対策総合研究センター(CYREC)」の設立理由の筆頭に、このAPT攻撃が記述されている
。

## 攻撃プロセス

攻撃プロセスは、次のように整理できる
。

- 初期侵害(Initial Compromise):バックドア不正プログラム投入(通常の標的型攻撃)
- 拠点確立(Establish Foothold):バックドアとの通信を確立、追加機能投入
- 権限昇格(Escalate Privileges):パスワードクラック、パス・ザ・ハッシュ(Pass the hash)等
- 内部偵察(Internal Reconnaissance):イントラネット構成調査
- (水平展開(Move Laterally):イントラネット内を移動)←反復
- (存在維持(Maintain Presence):バックドアの追加設置等)←反復
- 任務遂行(Complete Mission):情報の窃取(ファイル圧縮・ファイル転送等)

## 緩和戦略

イントラネットの設計・構築・運用管理において、多層防御を行う必要がある
。

- 潜入しているマルウェア(遠隔操作ツール RAT)を発見するためには、そのRATが行うネットワーク内外への通信を捉えることが重要である。

- クライアントPCについて、Windows標準のセキュリティ機能(ZoneID、AppLocker等)を設定することによって、メール添付ファイルの実行を抑止できる。

- マルウェアを検出したクライアントPCをネットワークから自動遮断するソリューションを活用することができる。

- スーパーユーザーのアクセス権限の設定において、アイデンティティ管理ソリューションの、いわゆる特権ID管理ソリューションを活用することができる。

- 攻撃者が心理的に「内部偵察」しにくいようにイントラネットのシステムを設計し、攻撃者の「内部偵察」活動を発見するための「トラップ(罠)」を設置し、システム管理者が「水平展開」活動に早期に気付くことができるようにする必要がある。

- 攻撃の痕跡をデータログに捕捉できるようにサービスや機器を設定する。

- 各システムのデータログを関連付けて把握し易くするためにはSIEM(Security Information and Event Management)ツールを導入する。その前提として、各システムの時計を同期させておく必要がある。

組織内にCSIRT(Computer Security Incident Response Team)を編成し、運営する。

## APTグループ

| 国名 | APT | グループ名 | 別名 | 出典 |
| --- | --- | --- | --- | --- |
| 中国 | APT1 | 中国人民解放軍61398部隊 | Comment Crew、Comment Panda、GIF89a、Byzantine Candor |  |
| APT2 | PLA Unit 61486 |  |  |
| APT3 | Buckeye | UPS Team |  |
| APT4 |  | Maverick Panda、Sykipot Group、Wisp |  |
| APT6 |  |  |  |
| APT7 |  |  |  |
| APT8 |  |  |  |
| APT9 |  |  |  |
| APT10 | Red Apollo | APT10 (by Mandiant)、MenuPass (by ファイア・アイ)、Stone Panda (by Crowdstrike)、POTASSIUM (by マイクロソフト) |  |
| APT12 | Numbered Panda | Calc Team |  |
| APT14 |  |  |  |
| APT15 | ニッケル (ハッカー集団) | KE3CHANG、Vixen Panda、Royal APT、Playful Dragon |  |
| APT16 |  |  |  |
| APT17 | Tailgator Team、DeputyDog |  |  |
| APT18 | Wekby |  |  |
| APT19 | Codoso Team |  |  |
| APT20 | Wocao | Twivy |  |
| APT21 | Zhenbao |  |  |
| APT22 | Barista |  |  |
| APT23 |  |  |  |
| APT24 | PittyTiger |  |  |
| APT25 |  | Uncool、Vixen Panda、Ke3chang、Sushi Roll、Tor |  |
| APT26 |  |  |  |
| APT27 |  |  |  |
| APT30 | PLA Unit 78020 | Naikon |  |
| APT31 | ジルコニウム (ハッカー集団) |  |  |
| APT40 | APT40 | BRONZE MOHAWK、FEVERDREAM、G0065、Gadolinium、GreenCrash、Hellsing、Kryptonite Panda、Leviathan、MUDCARP、Periscope、Temp.Periscope、Temp.Jumper |  |
| APT41 | ダブルドラゴン (ハッカー集団) | Winnti Group、Barium、Axiom |  |
|  | Tropic Trooper |  |  |
|  | ハフニウム |  |  |
| イラン | APT33 | Elfin Team | Refined Kitten(by Crowdstrike)、マグナリウム (by Dragos)、ホルミウム (by マイクロソフト) |  |
| APT34 | Helix Kitten |  |  |
| APT35 | Charming Kitten | APT35 (by Mandiant)、Phosphorus (by Microsoft)、Ajax Security (by ファイア・アイ)、NewsBeef (by カスペルスキー) |  |
| APT39 |  |  |  |
|  | Pioneer Kitten |  |  |
| イスラエル |  | 8200部隊 |  |  |
| 北朝鮮 |  | キムスキー | ベルベット・チョンリマ、ブラック・バンシー |  |
| APT37 | Ricochet Chollima | Reaper、ScarCruft |  |
| APT38 | ラザルスグループ |  |  |
| ロシア | APT28 | ファンシーベア | Fancy Bear、APT28 (by Mandiant)、Pawn Storm、Sofacy Group (by Kaspersky)、Sednit、Tsar Team (by ファイア・アイ)、ストロンチウム (by マイクロソフト) |  |
| APT29 | コージーベア | CozyCar、CozyDuke (by F-Secure)、Dark Halo、The Dukes (by Volexity)、NOBELIUM、Office Monkeys、StellarParticle、UNC2452、YTTRIUM |  |
|  | サンドワーム | Unit 74455、Telebots、ブードゥー・ベア、アイアン・バイキング |  |
|  | ベルセルクベア | Crouching Yeti、Dragonfly、Dragonfly 2.0、DYMALLOY、Energetic Bear、Havex、IRON LIBERTY、Koala、TeamSpy |  |
|  | FIN7 |  |  |
|  | Venomous Bear |  |  |
| アメリカ |  | イクエーション・グループ |  |  |
| ウズベキスタン |  | サンドキャット | ウズベキスタン国家保安庁 |  |
| ベトナム | APT32 | OceanLotus |  |  |
| 不明 | APT5 |  |  |  |