zhtw 進階持續性威脅；zhhans 高階長期威脅（，縮寫：APT），又稱高階持續性威脅、先進持續性威脅等，是指隱匿而持久的電腦入侵過程，通常由某些人員精心策劃，針對特定的目標。其通常是出於商業或政治動機，針對特定組織或國家，並要求在長時間內保持高隱蔽性。高階長期威脅包含三個要素：高階、長期、威脅。高階強調的是使用複雜精密的惡意軟體及技術以利用系統中的漏洞。長期暗指某個外部力量會持續監控特定目標，並從其獲取資料。威脅則指人為參與策劃的攻擊。httpswwwcademiaedu6309905Advanced_Persistent_Threat__APT APT 發起方，如政府，通常具備持久而有效地針對特定主體的能力及意圖。此術語一般指網路威脅，尤其是指使用眾多情報收集技術來獲取敏感資訊的網路間諜活動，但也適用於傳統的間諜活動之類的威脅。其他攻擊面包括受感染的媒介、入侵供應鏈、社會工程學。個人，如個人駭客，通常不被稱作 APT，因為即使個人有意攻擊特定目標，他們也通常不具備高階和長期這兩個條件。 歷史 2005 年時，英國及美國的一些計算機應急響應組織釋出報告，提醒人們注意某些針對性的釣魚電子郵件會釋放木馬，外洩敏感資訊，但「APT」一詞還未被使用。普遍認為「高階長期威脅」這個術語是在 2006 年由美國空軍創造，而格雷格拉特雷上校一般被認為是該術語的發明人。 震網蠕蟲是 APT 的一個例子，此蠕蟲專門針對伊朗核設施的電腦硬體。此事件中，伊朗政府可能就把震網蠕蟲的創造者視為一個高階長期威脅。 在計算機安全社群及媒體中，此術語常指標對政府、公司、政治活躍分子的長期而複雜的駭客攻擊，也指發起這些攻擊幕後團體的活動特徵。日趨頻繁的高階長期威脅（APT）可能會逐漸只用於指代計算機駭客入侵。據《PC World》雜誌統計，從 2010 年到 2011 年，針對性的高階電腦駭客攻擊增長了 81。 是，APT 僅僅針對西方政府。雖然針對西方政府的 APT 事件在西方廣為流傳，但許多國家的駭客也會透過網路空間收集個人或一群個人的情報。美國網戰司令部負責協調美國軍方對網路攻擊作出的響應。 有說法稱一些 APT 團體直屬於或受僱於民族國家。 掌握大量可辨識的個人身份資訊的行業極有可能遭受高階長期威脅，如： 高等教育 金融機構 術語 APT 並無準確定義，但總體可歸納如下： 高階：威脅的幕後操縱者對情報收集技術有著全面的掌控能力。其中可包括電腦入侵技術和傳統情報收集技術（如電話監聽技術、衛星成像技術）。攻擊中使用的各個元件本身可能並不能算特別「高階」（例如，利用公開的惡意軟體生成工具生成的惡意軟體，或是一些容易獲得的漏洞利用材料），但是操縱者往往可以按需開發出更高階的工具。他們一般會使用多種針對方式、工具和技術以入侵目標，並保持訪問許可權。操縱者也可能會特別注意行動中的安全，這一點和「不那麼高階」的威脅有所不同。 長期：操縱者注重一個特定的任務，而不是盲目搜尋資訊。這一區別暗示攻擊者受到外部力量指示。為了達到預定目的，攻擊者會持續監控目標，並做出反應。這並不表示攻擊者會經常發動攻擊、頻繁更新惡意軟體。事實上，「放長線」的方法會更為成功。如果操縱者失去了對目標的訪問權，他們一般會重新嘗試入侵，也往往會成功。操縱者的目的之一就是對目標保有長期的訪問權，而不是一次性的訪問權。 威脅：APT 之所以成為威脅，是因為發起方既有此能力，又有此意圖。APT 攻擊是由一群有組織的人發起的。操縱者有特定的目標，且技術精湛、資金雄厚。 特點 Bodmer、Kilger、Carpenter 和 Jones 的研究將 APT 的標準定義如下：Bodmer Kilger Carpenter Jones 2012 Reverse Deception Organized Cyber Threat CounterExploitation New York McGrawHill Osborne Media ISBN 0071772499 ISBN 9780071772495 目標 威脅的最終目標，即你的對手 時間 調查、入侵所花的時間 資源 所涉及的知識面及工具（技能和方法也有所影響） 風險承受能力 威脅能在多大程度上不被發覺 技能與方法 所使用的工具及技術 行動 威脅中採取的具體行動 攻擊源頭 攻擊來源的數量 牽涉數量 牽涉到多少內部或外部系統，多少人的系統具有不同重要性 資訊來源 是否能透過收集線上資訊識別出某個威脅 趨勢科技定義 APT 基本要素與特點如下： 基於經濟或競爭優勢 時間長期、持續、多個階段的攻擊 目標針對特定公司、組織或平臺 多元攻擊方式包括假冒信件、現成與客製化惡意軟體、遠端控制工具、將機密敏感資料外傳 生命週期 APT 的幕後黑手會對組織團體的金融財產、智慧財產權及名譽造成持續變化的威脅，其過程如下： 因一個目標開始盯上特定組織團體 試圖入侵到其環境中（如傳送釣魚郵件） 利用入侵的系統來訪問目標網路 部署實現攻擊目標所用的相關工具 隱藏蹤跡以便將來訪問 2013 年，美國網路安全公司麥迪安（Mandiant）釋出了關於 2004 至 2013 年間疑似來源於中國的 APT 攻擊的研究結果，其中的生命週期與上述相似： 初始入侵 使用社會工程學、釣魚式攻擊、零日攻擊，透過郵件進行。在受害者常去的網站上植入惡意軟體（掛馬）也是一種常用的方法。 站穩腳跟 在受害者的網路中植入，開啟網路後門，實現隱蔽訪問。 提升特權 透過利用漏洞及破解密碼，獲取受害者電腦的管理員特權，並可能試圖獲取管理員特權。 內部勘查 收集周遭設施、安全信任關係、結構的資訊。 橫向發展 將控制權擴充套件到其他工作站、伺服器及設施，收集資料。 保持現狀 確保繼續掌控之前獲取到的訪問許可權和憑據。 任務完成 從受害者的網路中傳出竊取到的資料。 麥迪安所分析的這起入侵事件中，攻擊者對受害者的網路保有控制權的平均時間為一年，最長時間為五年。 此次滲透攻擊據稱是位於上海的中國人民解放軍 61398 部隊所為。中國官方否認參與了這些攻擊。 緩解策略 惡意軟體的變種數以千萬計，因此要保護組織團體免於 APT 攻擊極為困難。雖然 APT 活動十分隱蔽，但與 APT 相關的命令與控制網路流量卻可以在網路層由精密的方法檢測。深入的日誌分析和比對有助於檢測 APT 活動。儘管要從正常流量中分離出異常流量有一定難度，但這一工作可以藉助完善的日誌分析工具來完成，以便安全專家調查異常流量。 終端使用者 不隨意開啟未知來源的郵件附加檔案 安裝已知品牌軟體，定期系統更新，安裝掃描病毒軟體並定期掃毒 企業資訊人員 建立監控軟體，尋找是否有可疑終端電腦或裝置 使用多層次資安防禦軟體，加強防護縱深 訂立企業內部敏感資訊的監控與存取政策 教育員工關於社交工程的資訊安全意識 相關組織 中國 自 2012 年習近平出任中共中央總書記以來，中國國家安全部在網路間諜活動方面承擔了比中國人民解放軍更大的責任，目前負責監管各種 APT 組織。 安全研究員蒂莫斯蒂芬斯 Timo Steffens 表示：中國的網路威脅格局採用全國性的方式，利用了大學、個人以及私營和公共部門等的技術。 APT1 是中國人民解放軍 61398 部隊。 APT2 是中國人民解放軍 61486 部隊。 APT3 又名 是中國國家安全部廣東省國家安全廳。 又名 Red Apollo 是中國國家安全部天津市國家安全域性。 又名 Numbered Panda 是解放軍所屬身份不明組織。 APT17 又名 DeputyDog 是中國政府所屬身份不明單位。 APT18 又名 Dynamite Panda 或 Scandium 是解放軍海軍所屬部隊之一。 APT19 又名 Deep Panda 或 C0d0so0 Team 是中國政府所屬身份不明單位。 APT20 又名 Violin Panda 或 Wocao 是中國政府所屬身份不明單位。 APT22 又名 Suckfly 是中國政府所屬身份不明單位。 APT26 又名 Turbine Panda 是中國國家安全部江蘇省國家安全廳。 APT27 又名 Emissary Panda 是中國政府所屬身份不明單位。 又名 是中國人民解放軍 78020 部隊。 APT31 又名 Zirconium 或 Hurricane Panda 是中國國家安全部湖北省國家安全廳 是中國國家安全部海南省國家安全廳。 與 APT40 密切相關。 又名 Double Dragon、Winnti Group 或 Barium 是中國國家安全部所屬單位之一，位於中國成都。 又名 UNC1945 Dragonbridge Tropic Trooper Volt Typhoon Flax Typhoon Charcoal Typhoon 又名 CHROMIUM Salmon Typhoon 又名 SODIUM 鹽颱風（Salt Typhoon，又名 GhostEmperor 或 FamousSparrow） Liminal Panda MirrorFace 伊朗 Charming Kitten 又名 APT35 Elfin Team 又名 APT33 Helix Kitten 又名 APT34 Pioneer Kitten Remix Kitten 又名 APT39 ITG07 或 Chafer 北朝鮮 Kimsuky Lazarus 組織 又名 APT38 Ricochet Chollima 又名 APT37 俄羅斯 Berserk Bear Cozy Bear 又名 APT29 Fancy Bear 又名 APT28 FIN7 Gamaredon 又名 Primitive Bear Sandworm Venomous Bear 土耳其 StrongPity 又名 APTC41 或 PROMETHIUM 美國 方程式組織 烏茲別克 SandCat，據卡巴斯基稱與其國家安全部門有關聯。 越南 OceanLotus 又名 APT32 注 參考文獻 延伸閱讀 httpwwwtheregistercouk20130301post_cryptography_security_shamir Gartner Strategies for Dealing With Advanced Targeted Attacks APT Malware notes sorted by year 參見 高階短期威脅 極光行動 中國人民解放軍 61398 部隊 釣魚式攻擊 特定入侵行動辦公室 最小許可權原則 Category 網路安全 Category 網路戰