Постоянная серьезная угроза (англ. advanced persistent threat, APT) — термин кибербезопасности, означающий противника, обладающего современным уровнем специальных знаний и значительными ресурсами, которые позволяют ему создавать угрозу опасных кибератак.
 Термин изначально использовался для описания кибернападений на военные организации, но более не ограничен военной сферой. Атака APT превосходит обычные киберугрозы, так как ориентируется на взлом конкретной цели и готовится на основании информации о ней, собираемой в течение длительного времени. APT осуществляет взлом целевой инфраструктуры посредством эксплуатации программных уязвимостей и методов «социальной инженерии».
 По состоянию на 2015 г., не выработано абсолютных методов противодействия угрозам класса APT, они продолжают развиваться. Обнаружение целевой атаки требует тщательного анализа событий безопасности за длительный срок. Отличительным аспектом последствий атаки является отсутствие гарантии полного восстановления и дальнейшей безопасности. Для внедрения должных контрмер требуется глубокое понимание сущности, моделей и рисков APT.
 Целевая кибератака (таргетированная кибератака) — вид кибератаки, процесс которой контролируется вручную в реальном времени человеком, являющимся центром атаки. Целью данной атаки является хищение защищенной информации из информационной системы конкретной компании, организации или государственной службы. Важными отличительными особенностями таргетированных атак можно назвать их продолжительность, длительный и ресурсозатратный период подготовки, а также использование не только технических и компьютерных средств для её осуществления. Комплексный подход к построению атаки может включать активное воздействие на людей с помощью психологии и методов социальной инженерии, совместно с атаками нулевого дня (zero-day exploits) на оборудование.
 Термин APT может так же использоваться для обозначения комплекса всевозможных технических и программных средств, утилит и ПО необходимых для совершения целевой атаки. В настоящий момент существует огромное множество всевозможных средств атаки, к которым потенциальные злоумышленники могут получить доступ в сети или на теневых рынках. Большинство современных систем безопасности не требуют создания уникальных средств для взлома и поддаются уже имеющимся инструментам в нужной комбинации и при нужной стратегии
 Таргетированная атака может представлять серьезную угрозу информационной безопасности компании из-за сложности обнаружения и тяжести последствий. В среднем, обнаружение атаки происходит спустя 200 дней после её начала. И даже после установления факта присутствия APT в своей сети, компании не всегда способны избавиться от угрозы или хотя бы минимизировать её влияние. Это приводит к долгому простою в работе, вызванному попытками восстановить контроль и расследовать инцидент. Материальные потери от крупных атак в среднем по миру составляют $551.000.
 APT-атака может преследовать самые разные цели. А именно: хищение денежных средств или персональных данных; манипулирование бизнес-процессами, ослабление в конкурентной борьбе, шантаж и вымогательство; кража интеллектуальной собственности; попытки сделать политическое заявление либо нарушить работу городской инфраструктуры.
 Выделяют 4 стадии целевой атаки (подготовка, проникновение, распространение, достижение цели), каждая из которых сопровождается деятельностью, направленной на сокрытие следов присутствия в системе.
 Подготовка включает в себя определение цели, нахождение максимального количества информации о ней, выявление слабых мест в системе безопасности. Затем производится выработка стратегии, подбираются средства проникновения из ранее созданных либо создаются новые, специализированные, затем они тестируются на моделях.
 Выбор какой-либо организации в качестве цели, а также определение задач предстоящей атаки, производится чаще по заказу заинтересованных лиц, либо, после мониторинга рынка, в частном порядке. В качестве инструмента мониторинга обычно выступают общедоступные методы, такие как RSS-рассылки, официальные аккаунты компаний в социальных сетях, различные профильные форумы, на которых могут проявлять активность сотрудники целевых компаний.
 Дальнейшая разведка производится для обнаружения уязвимостей. И, поскольку технические средства, используемые для защиты информационной сети, являются неразглашаемой информацией, структуру информационной системы и её слабости пытаются узнать любым доступным методом, в том числе посредством социальной инженерии.
 Некоторые способы проведения разведки.
 После тщательной проработки стратегии, учитывающей все этапы проникновения (в том числе действия преступников в случае нештатных ситуаций), они создают так называемый стенд (полностью действующая модель атакуемого ПО и системы безопасности). Эта модель позволяет отработать техники внедрения, отследить возможные каналы обхода средств обнаружения и убедиться в возможности скрыть все следы проникновения.
 Следует отметить, что этот и последующие этапы могут оказаться весьма денежно затратными для преступников. В частности, иногда преступникам выгоднее написать нужный набор инструментов нападения самостоятельно, нежели платить за уже готовый и не оптимизированный. Как правило, такой набор (Toolset) состоит из командного центра (C&C), инструментов проникновения и основного вредоносного модуля.
 На этом этапе используются уязвимости нулевого дня, а также все возможные техники социальной инженерии. После удостоверения в проникновении на нужный хост, злоумышленник дает команду на инсталляцию вредоносного кода через центр управления (C&C).
 Основные средства проникновения и их назначение:
 Сам модуль создается с многоуровневым шифрованием, для защиты от обнаружения атаки и для сокрытия информации о преступниках.
 В данную фазу злоумышленник старается максимально распространить свой код по информационной сети, ориентируясь на ключевые точки — рабочие станции и сервера, необходимые для осуществления целей атаки. Он использует удаленный доступ RDP, и работает под легитимными администраторскими правами и не может быть замечен системой безопасности.
 На этом этапе происходит либо хищение (сопровождаемое сжатием и шифрованием), либо изменение закрытой информации, либо иные манипуляции, требующиеся злоумышленнику. За этим следует сокрытие следов и, при необходимости, оставление точек возврата в систему.
 Основным способом противостояния целевым атакам является недопущение их начала, поскольку активную атаку крайне сложно заметить. Среди стандартных технических средств предотвращения можно выделить сигнатурный анализ, исполнение правил для сетевых соединений, черные и белые списки приложений, а также использование межсетевых экранов и межсегментного контроля, IDS/IPS, SIEM, контент-фильтры, совместное использование файловых антивирусов и актуальной анти-спам политики для устранения угроз со стороны массовых рассылок (например, защищённых паролем архивов с вредоносным кодом). Немаловажной частью предотвращения APT-атак является обучение персонала правильной политике информационной безопасности. .
 Если атака все-таки была начата или есть предположение о её наличии, ставится задача обнаружения и локализации. Хотя существует целый комплекс различных мер, направленных на обнаружение APT, они, зачастую, оказываются малоэффективны. Среди таких мер можно выделить сервисы, предлагающие проверки системы, достаточно компетентных специалистов по безопасности, автоматизированные системы обработки событий безопасности, а также актуальные данные о существующих угрозах, например, Threat Data Feeds — сервис, содержащий следующую информацию:
 Если подтверждается факт атаки, должны быть предприняты меры по её остановке, выясняется нанесенный ущерб.
 Однако, даже если угроза была обнаружена и были приняты корректирующие меры, APT может оставаться в системе годами
 Далеко не все инциденты с APT-атаками становятся известны широкой публике, поскольку общественные заявления об одной атаке могут спровоцировать новые, а также дать преступникам возможность учесть ошибки. Однако, некоторые крупные атаки были документированы.
 1998-2000
 2007
 2008
 2009
 2010
 2011
 2022
 2023
 Разработкой и планированием атак занимаются группы людей, обладающих достаточными знаниями. Чаще всего целью их нападения становятся банковские системы.