高級長期威脅

進階持續性威脅（advanced persistent threat，縮寫：APT），又稱高級長期威脅、先進持續性威脅等，是指隱匿而持久的電腦入侵過程，通常由某些人員精心策劃，針對特定的目標。其通常是出於商業或政治動機，針對特定組織或國家，並要求在長時間內保持高隱蔽性。高級長期威脅包含三個要素：高級、長期、威脅。高級強調的是使用複雜精密的惡意軟體及技術以利用系統中的漏洞。長期暗指某個外部力量會持續監控特定目標，並從其獲取數據。威脅則指人為參與策劃的攻擊。

APT發起方，如政府，通常具備持久而有效地針對特定主體的能力及意圖。此術語一般指網路威脅，尤其是指使用眾多情報收集技術來獲取敏感資訊的網路間諜活動，但也適用於傳統的間諜活動之類的威脅。其他攻擊面包括受感染的媒介、入侵供應鏈、社會工程學。個人，如個人黑客，通常不被稱作APT，因為即使個人有意攻擊特定目標，他們也通常不具備高級和長期這兩個條件。

## 歷史

2005年時，英國及美國的一些電腦應急響應組織發布報告，提醒人們注意某些針對性的釣魚電子郵件會釋放木馬，外洩敏感資訊，但「APT」一詞還未被使用。普遍認為「高級長期威脅」這個術語是在2006年由美國空軍創造，而格雷格·拉特雷上校一般被認為是該術語的發明人。

震網蠕蟲是APT的一個例子，此蠕蟲專門針對伊朗核設施的電腦硬體。此事件中，伊朗政府可能就把震網蠕蟲的創造者視為一個高級長期威脅。

在電腦安全社群及媒體中，此術語常指針對政府、公司、政治活躍分子的長期而複雜的黑客攻擊，也指發起這些攻擊幕後團體的活動特徵。日趨頻繁的高級長期威脅（APT）可能會逐漸只用於指代電腦黑客入侵。據《PC World》雜誌統計，從2010年到2011年，針對性的高級電腦黑客攻擊增長了81%。

對於APT的一個常見誤解是，APT僅僅針對西方政府。雖然針對西方政府的APT事件在西方廣為流傳，但許多國家的黑客也會通過網路空間收集個人或一群個人的情報。美國網戰司令部負責協調美國軍方對網路攻擊作出的響應。

有說法稱一些APT團體直屬於或受僱於民族國家。

掌握大量可辨識的個人身份資訊的行業極有可能遭受高級長期威脅，如：

- 高等教育
- 金融機構

## 術語

APT並無準確定義，但總體可歸納如下：

- 高級：威脅的幕後操縱者對情報收集技術有著全面的掌控能力。其中可包括電腦入侵技術和傳統情報收集技術（如電話監聽技術、衛星成像技術）。攻擊中使用的各個組件本身可能並不能算特別「高級」（例如，利用公開的惡意軟體生成工具生成的惡意軟體，或是一些容易獲得的漏洞利用材料），但是操縱者往往可以按需開發出更高級的工具。他們一般會使用多種針對方式、工具和技術以入侵目標，並保持訪問權限。操縱者也可能會特別注意行動中的安全，這一點和「不那麼高級」的威脅有所不同。
- 長期：操縱者注重一個特定的任務，而不是盲目搜尋資訊。這一區別暗示攻擊者受到外部力量指示。為了達到預定目的，攻擊者會持續監控目標，並做出反應。這並不表示攻擊者會經常發動攻擊、頻繁更新惡意軟體。事實上，「放長線」的方法會更為成功。如果操縱者失去了對目標的訪問權，他們一般會重新嘗試入侵，也往往會成功。操縱者的目的之一就是對目標保有長期的訪問權，而不是一次性的訪問權。
- 威脅：APT之所以成為威脅，是因為發起方既有此能力，又有此意圖。APT攻擊是由一群有組織的人發起的。操縱者有特定的目標，且技術精湛、資金雄厚。

## 特點

Bodmer、Kilger、Carpenter和Jones的研究將APT的標準定義如下：

- 目標 – 威脅的最終目標，即你的對手
- 時間 – 調查、入侵所花的時間
- 資源 – 所涉及的知識面及工具（技能和方法也有所影響）
- 風險承受能力 – 威脅能在多大程度上不被發覺
- 技能與方法 – 所使用的工具及技術
- 行動 – 威脅中採取的具體行動
- 攻擊源頭 – 攻擊來源的數量
- 牽涉數量 – 牽涉到多少內部或外部系統，多少人的系統具有不同重要性
- 資訊來源 – 是否能通過收集在線資訊識別出某個威脅

趨勢科技定義APT基本要素與特點如下：

- 基於經濟或競爭優勢
- 時間長期、持續、多個階段的攻擊
- 目標針對特定公司、組織或平台
- 多元攻擊方式包括假冒信件、現成與客製化惡意軟體、遠端控制工具、將機密敏感資料外傳

## 生命周期

<image>

APT的幕後黑手會對組織團體的金融財產、智慧財產權及名譽造成持續變化的威脅，其過程如下：

- 因一個目標開始盯上特定組織團體
- 試圖入侵到其環境中（如發送釣魚郵件）
- 利用入侵的系統來訪問目標網路
- 部署實現攻擊目標所用的相關工具
- 隱藏蹤跡以便將來訪問

2013年，美國網路安全公司麥迪安（Mandiant）發布了關於2004至2013年間疑似來源於中國的APT攻擊的研究結果，其中的生命周期與上述相似：

- 初始入侵 – 使用社會工程學、釣魚式攻擊、零日攻擊，通過郵件進行。在受害者常去的網站上植入惡意軟體（掛馬）也是一種常用的方法。
- 站穩腳跟 – 在受害者的網路中植入遠程訪問工具，打開網路後門，實現隱蔽訪問。
- 提升特權 – 通過利用漏洞及破解密碼，獲取受害者電腦的管理員特權，並可能試圖獲取Windows域管理員特權。
- 內部勘查 – 收集周遭設施、安全信任關係、域結構的資訊。
- 橫向發展 – 將控制權擴展到其他工作站、伺服器及設施，收集數據。
- 保持現狀 – 確保繼續掌控之前獲取到的訪問權限和憑據。
- 任務完成 – 從受害者的網路中傳出竊取到的數據。

麥迪安所分析的這起入侵事件中，攻擊者對受害者的網路保有控制權的平均時間為一年，最長時間為五年。此次滲透攻擊據稱是位於上海的中國人民解放軍61398部隊所為。中國官方否認參與了這些攻擊。

## 緩解策略

惡意軟體的變種數以千萬計，因此要保護組織團體免於APT攻擊極為困難。雖然APT活動十分隱蔽，但與APT相關的命令與控制網路流量卻可以在網路層由精密的方法檢測。深入的日誌分析和比對有助於檢測APT活動。儘管要從正常流量中分離出異常流量有一定難度，但這一工作可以藉助完善的日誌分析工具來完成，以便安全專家調查異常流量。

### 終端使用者

- 不隨意開啟未知來源的郵件附加檔案
- 安裝已知品牌軟體，定期系統更新，安裝掃描病毒軟體並定期掃毒

### 企業資訊人員

- 建立監控軟體，尋找是否有可疑終端電腦或裝置
- 使用多層次資安防禦軟體，加強防護縱深
- 訂立企業內部敏感資訊的監控與存取政策
- 教育員工關於社交工程的資訊安全意識

## 相關組織

### 中國

自習近平於2012年出任中共中央總書記以來，國家安全部（MSS）在網路間諜活動方面獲得了比解放軍更大的職責，目前負責監督各種高級持續性威脅組織。據安全研究員蒂莫·斯特芬斯（Timo Steffens）稱，中國的「高級持續性威脅」（APT）組織利用來自從機構到個體（包括和政府有承包項目的小公司和黑客組織）的技能。

- APT1是中國人民解放軍61398部隊。
- APT2是中國人民解放軍61486部隊。
- APT3（又名Boyusec）是中國國家安全部廣東省國家安全廳。
- APT10（又名Red Apollo），是中國國家安全部天津市國家安全局。
- APT12（又名Numbered Panda）是解放軍所屬身份不明組織。
- APT17（又名DeputyDog）是中國政府所屬身份不明單位。
- APT18（又名Dynamite Panda或Scandium）是解放軍海軍所屬部隊之一。
- APT19（又名Deep Panda或C0d0so0 Team）是中國政府所屬身份不明單位。
- APT20（又名Violin Panda或Wocao）是中國政府所屬身份不明單位。
- APT22（又名Suckfly）是中國政府所屬身份不明單位。
- APT26（又名Turbine Panda）是中國國家安全部江蘇省國家安全廳。
- APT27（又名Emissary Panda）是中國政府所屬身份不明單位。
- APT30（又名Naikon）是中國人民解放軍78020部隊。
- APT31（又名Zirconium或Hurricane Panda）是中國國家安全部湖北省國家安全廳。
- APT40 是中國國家安全部海南省國家安全廳。
- Hafnium (組織)與APT40密切相關。
- APT41（又名Double Dragon、Winnti或Barium）是中國國家安全部所屬單位之一，位於中國成都。
- LightBasin（又名UNC1945）。
- Dragonbridge。
- Tropic Trooper。
- Volt Typhoon。
- Flax Typhoon。
- Charcoal Typhoon（又名CHROMIUM）。
- Salmon Typhoon（又名SODIUM）。
- 鹽颱風（Salt Typhoon，又名GhostEmperor或FamousSparrow）。
- Liminal Panda。
- MirrorFace。
- Mustang Panda。

### 伊朗

- Charming Kitten（又名APT35）
- Elfin Team（又名APT33）
- Helix Kitten（又名APT34）
- Pioneer Kitten
- Remix Kitten（又名APT39，ITG07，或Chafer）

### 北朝鮮

- Kimsuky
- Lazarus組織（又名APT38）
- Ricochet Chollima（又名APT37）

### 俄羅斯

- Berserk Bear
- Cozy Bear（又名APT29）
- Fancy Bear（又名APT28）
- FIN7
- Gamaredon（又名Primitive Bear）
- Sandworm
- Venomous Bear

### 土耳其

- StrongPity （又名APT-C-41或PROMETHIUM）

### 美國

- 方程式組織

### 烏茲別克斯坦

- SandCat，據卡巴斯基稱與其國家安全部門有關聯。

### 越南

- OceanLotus（又名APT32）

## 延伸閱讀

- http://www.theregister.co.uk/2013/03/01/post_cryptography_security_shamir
- Gartner: Strategies for Dealing With Advanced Targeted Attacks
- APT Malware notes sorted by year