2024年上半年排行前三的資安威脅 – APT攻擊對企業資安帶來的危害

01/03/2025

捲土重來的APT對企業資安帶來的危害？

根據資安業者統計，2024年上半年排行前三的資安威脅為：勒索病毒、APT攻擊及AI相關威脅，有別於勒索病毒及AI相關威脅在這幾年時常聽到，APT在經過幾年沉寂之後，乘著AI工具的發展也迎來新一波的成長，APT的捲土重來又會對企業資安帶來怎麼樣的衝擊呢? 在談論APT對於企業帶來的危害之前，讓我們先一起來複習一下什麼是APT：

章節導讀：

APT（進階持續性威脅）的定義
APT 攻擊的主要目標與常見目標類型
APT 攻擊的目標產業
APT 的特徵與運作方式 / APT 攻擊的工具與目標
APT 的分類與特徵
APT 的攻擊階段
APT 的偵測與回應
降低 APT 風險的最佳實務方法
APT 防禦與預防措施
資源與挑戰
威脅情報與偵測技術的結合

APT（進階持續性威脅）的定義

APT（Advanced Persistent Threat，進階持續性威脅）是一種針對特定組織的攻擊類型。攻擊者成功滲透目標系統後，會長時間潛伏於環境中，避免被偵測，並進行數據外洩或等待時機發動更具破壞性的攻擊。這類威脅的特點是精確的戰略性目標、持久的滲透行為，以及使用先進的攻擊戰術、技術和程序（TTPs）。

APT 攻擊的主要目標

APT 攻擊的首要目的是牟利。攻擊者有時會在入侵後竊取資料，另一些情況下則會等待條件成熟，進一步實施更全面的網路攻擊。通常，APT 攻擊的最終目的是讓後續攻擊的預防、防護、偵測與回應變得極為困難。簡單來說，攻擊者的目標是不讓你察覺他們已經潛伏於你的系統中。

APT 攻擊的常見目標類型

APT 攻擊者會針對具備高價值資料或關鍵影響力的組織，例如：

政府機構：攸關國家安全的部門和機構。

關鍵基礎設施：如能源、交通、金融系統等。

國防承包商：提供軍事和防衛技術的企業。

供應鏈中的供應商與廠商：透過小型供應商進一步滲透至大型目標。

大型企業與政府機構因擁有龐大的高價值資料庫，也成為主要攻擊目標。此外，隨著攻擊者策略的多樣化，規模較小的企業也成為受害者，因為這些企業往往是大型組織供應鏈的一部分，能為攻擊者提供滲透的跳板。

APT 攻擊的目標產業

APT 攻擊者的行動範圍橫跨多個產業，主要針對具有高價值的目標，包括：

國防與軍事

金融與保險

法律服務

工業製造

電信業

消費品與零售業

這些產業因掌握敏感資訊或在經濟與國家安全中具有關鍵地位，特別容易成為APT攻擊者的目標。

APT的特徵與運作方式

進階持續性威脅（APT，Advanced Persistent Threat）因其高度精密性與複雜性，在眾多網路威脅中顯得格外突出。APT 攻擊將先進技術與常見的社交工程手法（例如釣魚攻擊或垃圾郵件）結合，進行精心策劃和執行。

APT 的攻擊過程通常始於對目標的深入研究，分析受害者的攻擊面（如系統漏洞、人員行為、供應鏈等），然後針對單一目標發動行動。在攻擊的執行階段，攻擊者的首要目標是長時間隱匿於網路中而不被偵測，這種潛伏可能持續數週、數月，甚至數年之久。

APT 的隱蔽性和持續性，使其成為企業與政府機構需要格外警惕的威脅類型。

APT 攻擊的工具與目標

APT 攻擊者經常部署定制化的惡意程式（APT Malware），這些程式專為逃避偵測及實現遠端指揮與控制而設計。此外，攻擊者會不斷更新其工具、戰術與技術，以適應新的安全防禦措施。即使部分攻擊行動被揭露，攻擊者仍可能重新取得對系統的訪問權限。

APT 攻擊採取「低調且持久」的策略，目標往往是長期的間諜行動、資料竊取或階段性干擾，而非一次性的高強度攻擊（如勒索軟體）。

APT 的分類與特徵

APT 可根據來源、方法、滲透手法或地理範圍進行分類。以下是常見的 APT 類型：

國家級 APT（Nation-State APTs）
- 背景與目標：擁有龐大預算與先進技術，並且在法律保護下，這些攻擊者執行高度複雜的行動，目標包括長期間諜行動、資料竊取、操控輿論等。
- 主要對象：即時監控應用程式的運作狀態，發現異常行為並快速攔截。
- 模式識別：府機構、軍事基地、關鍵基礎設施、經濟核心企業，以及其他能幫助達成其政治或軍事目標的實體。
犯罪型 APT（Criminal APTs）
- 目的：專注於竊取金錢或其他有價值的資料（如智慧財產權），或以資料勒索與敲詐為目標。
- 常見手法：部署勒索軟體、銀行詐欺、竊取並販售信用卡資料，甚至非法使用受害者的基礎設施進行加密貨幣挖礦。
駭客主義型 APT（Hacktivist APTs）
- 目標：透過網路能力推動政治議程、促進社會變革或宣揚特定意識形態。
- 手法：分散式阻斷服務（DDoS）攻擊、網站竄改、洩露敏感資訊，通常伴隨公開聲明或宣言，意圖獲得媒體關注。
企業型 APT（Corporate/Business APTs）
- 背景：由企業雇用或資助，目標是對競爭對手進行間諜活動，特別針對大型企業。
- 新趨勢：隨著 APT 即服務（APT-as-a-Service）的興起，熟練的網路犯罪團隊開始提供工業間諜服務。攻擊者的動機包括獲得競爭優勢、財務利益，或收集商業情報。

不過，有時資料竊取並非 APT 的最終目標，攻擊者可能旨在破壞組織的重要專案、任務或計畫。不論目標為何，攻擊者始終致力於掩蓋行蹤，以便在未來進一步利用滲透的網路進行其他攻擊。

APT 的攻擊階段

滲透 – 建立攻擊據點

在攻擊的第一階段，攻擊者利用系統漏洞或社交工程手法，未經授權便取得目標的初步訪問權限。常見方法包括利用零日漏洞、網路弱點，或針對組織內關鍵人員進行精準釣魚攻擊（Spear Phishing）。攻擊者的目標是悄悄建立進入點，為後續的行動奠定基礎。

擴展 – 深入系統建立持續性

成功滲透後，攻擊者開始在網路內進行橫向移動，擴展控制範圍並深化存取權限。他們通常會尋找具備更高權限的帳號，便於存取關鍵系統與敏感資料。攻擊者可能部署惡意程式來建立後門與通道，使得他們能在系統內悄悄行動。此階段的重點是穩固自身的滲透地位，以利達成最終目標。

提取 – 資料竊取與行動脫身

在此階段，攻擊者通常已對系統的弱點與運作方式有了全面的了解。他們會收集所需的數據，並可能將其儲存在網路內的隱密位置。為了避免在提取資料時被偵測到，攻擊者可能採用分散式阻斷服務（DDoS）攻擊等分散注意力的策略。

APT 的偵測與回應

偵測高階持續性威脅需要採取全面的安全策略，包括：

在各種流程、工作負載和平台上進行威脅狩獵。
對整個環境進行細緻的監控。
分析進出網路流量，特別是與指揮控制（C2）相關的流量模式。

APT 活動的「微弱信號」通常需要安全團隊具備敏銳的判斷力，將這些分散的跡象整合為一個全面的威脅分析，並能快速交由人員處理。若無此能力，團隊可能無法及時有效地應對攻擊。

一旦偵測到 APT 活動，回應應立即展開並集中於以下行動：

確認受影響的系統。
移除所有後門。
防止攻擊者進一步橫向移動。

此外，企業需進行詳細的事件後分析，以鞏固防禦措施，降低未來攻擊的風險。針對技術層面與操作流程的分析，是減少風險的關鍵之一。

降低 APT 風險的最佳實務方法

企業可以透過以下措施減少常見的安全漏洞：

在各種流程、工作負載和平台上進行威脅狩獵。
對整個環境進行細緻的監控。
分析進出網路流量，特別是與指揮控制（C2）相關的流量模式。

一旦偵測到 APT 活動，回應應立即展開並集中於以下行動：

縮減攻擊面：定期更新與修補軟體、應用程式及設備。
實施全面監控：監控網路流量、應用程式與域名，同時加強存取控制，例如啟用雙因子驗證以保護關鍵網路節點。
加密所有遠端連線：確保遠端訪問的安全性。
檢查進入的電子郵件：降低針對性釣魚攻擊的風險。
即時分析與記錄安全事件：快速辨識與應對潛在威脅。

這些措施能幫助企業加強防禦，減少遭受 APT 攻擊的可能性，同時提升對潛在威脅的應變能力。

防禦與預防措施

在基礎層面，定期進行安全培訓能有效降低人為因素帶來的風險。人為錯誤往往是資安中最薄弱的一環，而 APT 攻擊者經常利用社交工程手法來加以攻擊。制定正式且實際演練過的事件回應計畫，可以在發生安全漏洞時確保快速而有組織的應對行動。
APT不斷進化，對安全團隊構成重大挑戰。這種進化使得安全團隊在追蹤與緩解威脅時面臨更高的難度，也測試了組織應對威脅影響的韌性。使用 MITRE ATT&CK 框架（一個全球性對手戰術與技術的知識庫）可以幫助安全團隊偵測並回應這些進階威脅。

資源與挑戰

預算限制以及持續性的資安人才短缺，使得安全運營中心（SOC）、管理型安全服務供應商（MSSP）和內部安全團隊往往無法獲得充足的資源。面對日益增多的複雜網路攻擊，越來越多的安全團隊將標準偵測工具的數據與可操作的威脅情報整合起來，以提高防禦能力。

防禦與預防措施

當威脅情報與端點偵測與回應系統（EDR）結合時，可以成為強大的防禦利器。進一步擴展 EDR 的功能，發展為延伸偵測與回應系統（XDR），幫助組織全面掌握網路資產與設備的活動，從而偵測潛在的 APT 入侵點。

僅靠團隊進行日誌分析，難以在實時區分惡意活動與合法行為。因此，一個高效的網路防禦策略應結合智能化的自動防禦解決方案，運用網路威脅情報與先進的防禦機制，實現對攻擊者的主動追蹤與防禦。

Bitdefender 全球有6個研究中心，總計超過1000+的菁英研究人員，截至今日有487個產業相關專利，透過自身強大的研發能力以及片佈全球範圍各種產業中的威脅情資感測器，使用機器學習、深度學習、大型語言模型等技術及威脅情資研發Gravityzone平台，提供多層次防護功能、EDR、XDR功能及MDR服務，長年得到第三方評測單位AV-Comparatives的優質評分，不管是在檢測及防護能力值得信賴，更屢屢收到The Forrest Wave 及 Gartner 的評等，來自於各方的好評一在地證明Bitdefender Gravityzone 是值得您信賴的好夥伴。

為了貴公司長期資訊安全，請盡速聯繫我們參考必特企業資安：

https://bhv.com.tw/gravityzone/