Z definicjizaawansowane, trwałe zagrożenie (APT)to długotrwały, ukierunkowany atak na konkretną ofiarę, którego celem jest naruszenie bezpieczeństwa jej systemu i uzyskanie informacji od tej ofiary lub o niej.
Około dziesięć lat temu termin ten był używany głównie w odniesieniu do podmiotów stanowiących zagrożenie sponsorowanych przez państwo. Użyłem tutaj terminu „podmioty stanowiące zagrożenie”, ponieważ w państwie, w którym działają i dla którego działają, nie są one postrzegane jako cyberprzestępcy. Oczywiście postrzeganie to zmienia się, gdy stajesz się ofiarą takiego ataku.
Kiedy po raz pierwszy zidentyfikowano te zagrożenia, ich celem były rządy i organizacje wojskowe. Obecnie celem może być każda osoba, organizacja lub firma. Często obserwujemy ataki na sektor opieki zdrowotnej, telekomunikacyjny, finansowy, dostawców usług zarządzanych (MSP), platformy SaaS i dostawców łańcucha dostaw.
Termin „APT” jest często używany jako dramatyczna etykieta dla każdego poważnego naruszenia bezpieczeństwa, nawet jeśli było ono krótkotrwałe lub miało charakter oportunistyczny. Rozbijmy więc tę nazwę na czynniki pierwsze, aby zobaczyć, co naprawdę kwalifikuje się jako APT.
Zaawansowany
Advanced niekoniecznie Advanced hakowanie na poziomie hollywoodzkim, ale oznacza, że atakujący są świadomi i dobrze przygotowani. Często łączą kilka technik: kupują lub odkrywają nowe, nieznane luki w oprogramowaniu (tzw. luki typu zero-day), wykorzystują stare, ale niezałatane błędy oraz tworzą bardzo przekonujące wiadomości phishingowe, które wyglądają jak autentyczne wiadomości od współpracowników lub partnerów. Mogą również korzystać z legalnych narzędzi administracyjnych już obecnych w sieci, co utrudnia wykrycie ich działalności, ponieważ wygląda to jak normalna praca informatyczna, tzw. LOLbins(Living Off the Land Binaries).
W praktyce „zaawansowanie” nie polega na używaniu najbardziej wyszukanych narzędzi, ale raczej na wyborze odpowiedniej kombinacji narzędzi i taktyk dostosowanych do konkretnej ofiary. Grupa APT może spędzić tygodnie na badaniu pracowników, systemów i dostawców ofiary, a następnie analizować te dane za pomocą sztucznej inteligencji. Dzięki temu, gdy w końcu podejmą działanie, ma ono największą szansę powodzenia za pierwszym razem.
Wytrwały
Wytrwałość sprawia, że zaawansowane zagrożenia typu APT są tak niebezpieczne. Atakujący nie są zainteresowani szybkimi atakami typu „uderz i uciekaj”. Chcą się włamać, pozostać w systemie i wracać do niego tak długo, jak długo dostęp do niego jest dla nich użyteczny. Jeśli obrońcy wykryją ich działalność i wyrzucą ich z jednego systemu, mogą oni skorzystać z innego tylnego wejścia, które przygotowali wcześniej, lub po prostu przegrupować się i poszukać nowego sposobu na włamanie.
Wytrwałość oznacza również, że działają oni powoli i cicho. Atakujący mogą spędzać miesiące na badaniu sieci, tworzeniu wielu ukrytych punktów wejścia i regularnym sprawdzaniu, czy pojawiły się nowe dane, które warto ukraść. Z punktu widzenia obrońcy sprawia to, że incydent z pojedynczego zdarzenia staje się trwającą kampanią. Należy założyć, że atakujący będą próbować ponownie, nawet jeśli wydaje się, że udało się ich usunąć.
Zagrożenie
Słowo „zagrożenie” nie oznacza, że chodzi tylko o jeden rodzajzłośliwego oprogramowania. APT zazwyczaj obejmuje kilka rodzajów ataków. Odnosi się do całej operacji: ludzi, ich narzędzi i infrastruktury, a nie tylko jednego złośliwego oprogramowania.
APT może obejmować phishing, wykorzystywanie luk w zabezpieczeniach, instalowanie narzędzi zdalnego dostępu oraz kradzież lub nadużywanie haseł. Wszystkie te działania stanowią zagrożenie dla systemów i danych organizacji.
Za zagrożeniem stoi zespół, który ma określony cel (na przykład kradzież poufnych projektów, szpiegowanie komunikacji lub przygotowywanie się do przyszłych zakłóceń) oraz cierpliwość i zasoby, aby dążyć do jego osiągnięcia.
Jak zachować bezpieczeństwo
Aby uniknąć stania się ofiarą APT, należy założyć, że można mieć do czynienia z potężnym przeciwnikiem.
- Zachowaj ostrożność w przypadku nieoczekiwanych wiadomości e-mail, wiadomości i załączników, nie tylko w pracy.
- W miarę możliwości używaj kluczy dostępu, a gdy nie jest to możliwe – silnych, unikalnych haseł oraz menedżera haseł.
- W miarę możliwości włącz uwierzytelnianie wieloskładnikowe (MFA).
- Aktualizuj oprogramowanie i sprzęt, zwłaszcza urządzenia sieciowe dostępne publicznie.
- Korzystaj z aktualnego rozwiązania antywirusowego działającego w czasie rzeczywistym, najlepiej z komponentem ochrony internetowej.
- Zwracaj uwagę na wszelkie nietypowe działania i zgłaszaj je, ponieważ nawet drobne szczegóły mogą okazać się ważne w przyszłości.
Nie tylko informujemy o zagrożeniach - my je usuwamy
Zagrożenia cyberbezpieczeństwa nigdy nie powinny wykraczać poza nagłówek. Chroń swoje urządzenia przed zagrożeniami, pobierając Malwarebytes już dziś.
