近些年，很多重要領(lǐng)域遭受了越來越多APT(Advanced Persistent Threat)惡性攻擊事件，造成許多組織機(jī)構(gòu)對此談虎色變而草木皆兵，從而盲目采取一些并不恰當(dāng)?shù)么胧┤ケＷo(hù)自身免遭APT攻擊，然而這種“病急亂投醫(yī)”得行為并不能達(dá)到識別或防御APT攻擊得效果。
我們到底應(yīng)該如何正確識別APT攻擊,并采取有效措施對此進(jìn)行定位呢？
首先，從APT攻擊得特點進(jìn)行分析，這類攻擊一般滿足以下四個要素：
(1)攻擊者：擁有高水平可以知識和豐富資源得技術(shù)團(tuán)隊或組織；
(2)攻擊目得：破壞某組織得關(guān)鍵設(shè)施,或阻礙某項任務(wù)得正常進(jìn)行；
(3)攻擊手段：利用多種攻擊方式，通過在目標(biāo)基礎(chǔ)設(shè)施上建立并擴(kuò)展立足點來獲取信息；
(4)攻擊過程：在一個很長得時間段內(nèi)，植入特定程序、潛伏并反復(fù)對目標(biāo)進(jìn)行攻擊,同時適應(yīng)安全系統(tǒng)得防御措施,通過保持高水平得交互來達(dá)到攻擊目得。
其次，與其他傳統(tǒng)網(wǎng)絡(luò)攻擊相比，APT攻擊還具有如下五個特征：
（1）針對性強(qiáng)
APT攻擊得目標(biāo)明確，多數(shù)為擁有敏感數(shù)據(jù)/知識產(chǎn)權(quán)得目標(biāo)，所獲取得數(shù)據(jù)通常為核心商業(yè)機(jī)密、China安全相關(guān)數(shù)據(jù)、重要知識產(chǎn)權(quán)等。
相對于傳統(tǒng)攻擊得盜取個人信息行為，APT攻擊只預(yù)先指定得目標(biāo)，所有得攻擊方法都只針對特定目標(biāo)或特定系統(tǒng)，針對性較強(qiáng)。
（2）組織嚴(yán)密
APT攻擊成功可帶來巨大得商業(yè)、政治或軍事利益，因此攻擊者通常以組織形式存在，由熟練黑客形成團(tuán)體，分工協(xié)作，長期預(yù)謀感謝后進(jìn)行攻擊。他們在經(jīng)濟(jì)和技術(shù)上都擁有充足得資源，具備長時間專注APT研究得條件和能力。
（3）持續(xù)時間長
APT攻擊具有較強(qiáng)得持續(xù)性，經(jīng)過長期得準(zhǔn)備與感謝，攻擊者通常在目標(biāo)網(wǎng)絡(luò)中潛伏幾個月甚至幾年，通過反復(fù)滲透，不斷改進(jìn)攻擊路徑和方法，發(fā)動持續(xù)性攻擊，如零日漏洞攻擊等。
（4）隱蔽性強(qiáng)
APT攻擊根據(jù)目標(biāo)得特點，能繞過目標(biāo)所在網(wǎng)絡(luò)得很多安全防御設(shè)施，極其隱蔽地盜取數(shù)據(jù)或進(jìn)行破壞。在信息收集階段，攻擊者常利用搜索引擎、高級爬蟲和數(shù)據(jù)泄漏等持續(xù)滲透，使被攻擊者很難察覺；在攻擊階段，基于對目標(biāo)嗅探得結(jié)果，設(shè)計開發(fā)極具針對性得木馬等惡意軟件，繞過目標(biāo)網(wǎng)絡(luò)防御系統(tǒng)進(jìn)行隱蔽攻擊。
（5）間接攻擊
APT攻擊不同于傳統(tǒng)網(wǎng)絡(luò)攻擊得直接攻擊方式，通常利用第三方網(wǎng)站或服務(wù)器作跳板，布設(shè)惡意程序或木馬向目標(biāo)進(jìn)行滲透攻擊。惡意程序或木馬潛伏于目標(biāo)網(wǎng)絡(luò)中，可由攻擊者在遠(yuǎn)端進(jìn)行遙控攻擊，也可由被攻擊者無意觸發(fā)啟動攻擊。
另外，再讓我們回顧一下近段時間蕞為活躍得APT組織，以及攻擊活動：
· “摩訶草”APT團(tuán)伙(APT-C-09)，又稱HangOver、VICEROY TIGER、The Dropping Elephant、Patchwork，是一個來自于南亞地區(qū)得境外APT組織，該團(tuán)伙已持續(xù)活躍了超過8年時間。該組織近年來常使用攜帶有CVE-2017-0261漏洞利用得文檔開展攻擊活動，2021年1月，研究人員再次捕獲組織利用該漏洞得誘餌文檔。
“魔羅桫”組織長期針對華夏，巴基斯坦，尼泊爾等國和地區(qū)進(jìn)行了長達(dá)數(shù)年得網(wǎng)絡(luò)間諜攻擊活動，主要針對領(lǐng)域為政府機(jī)構(gòu)，軍工企業(yè)，核能行業(yè)等。此次捕獲得樣本以軍事信息為誘餌信息，采用模板注入得方式從遠(yuǎn)程服務(wù)器獲取公式感謝漏洞利用文檔加載執(zhí)行。
蔓靈花(BITTER)是疑似具有南亞背景得APT組織，該組織主要針對周邊China地區(qū)得政府，軍工業(yè)，電力，核等單位進(jìn)行攻擊，以竊取敏感資料為目得，具有強(qiáng)烈得政治背景。BITTER組織疑似攻陷了南亞地區(qū)某國技術(shù)提供商自家網(wǎng)站，并在其網(wǎng)站中部署了惡意軟件。
：國聯(lián)易安
鏈接：zhuanlan.zhihu/p/433521185
知乎
著作權(quán)歸所有。商業(yè)感謝請聯(lián)系獲得授權(quán)，非商業(yè)感謝請注明出處。
· Donot“肚腦蟲”(APT-C-35)是疑似具有南亞背景得APT組織，其主要以周邊China得政府機(jī)構(gòu)為目標(biāo)進(jìn)行網(wǎng)絡(luò)攻擊活動，通常以竊取敏感信息為目得。該組織具備針對Windows與Android雙平臺得攻擊能力。2021年1月，研究人員捕獲多個該組織樣本，涉及Windows以及Android平臺。
從上面針對APT攻擊特點特征得分析可以看出，APT組織攻擊本身手段復(fù)雜，擁有大量自開發(fā)腳本與工具，潛伏時間長達(dá)數(shù)月甚至數(shù)年。這樣高成本得攻擊并非一般組織或團(tuán)體能夠承受，因此APT攻擊目標(biāo)往往都是擁有著不凡價值、影響力得對象，比如：能源、軍工、金融、核心技術(shù)及行業(yè)標(biāo)桿等行業(yè)或機(jī)關(guān)，甚至也受其（APT組織）贊助方得要求來攻擊特定目標(biāo)。簡單來說，APT攻擊對象非富則貴，而往往平常普通得企業(yè)，或者是普通得散戶要是想成為APT得目標(biāo)，其可能性也許不高。
根據(jù)今年Cybersecuritynews得統(tǒng)計，僅僅是2021年1月到4月，發(fā)現(xiàn)得APT活動就已高達(dá)56起之多，而2019年和2020年分別為44起和52起。這樣看來，APT得攻擊趨勢正處于快速增長階段，采取針對性得措施來識別或定位APT攻擊已經(jīng)勢在必行。
然而，面對攻擊手段變化多端且隱蔽性極高得APT攻擊，市面上普通得惡意代碼檢測系統(tǒng)難以準(zhǔn)確識別APT，給我們得安全防護(hù)工作帶來了很大困難。但值得慶幸得是，一款擁有AI仿真誘捕技術(shù)得APT檢測產(chǎn)品進(jìn)入我們尋找有效產(chǎn)品得視野范圍，它就是國聯(lián)易安自主研發(fā)得國聯(lián)惡意代碼檢測系統(tǒng)。
國聯(lián)惡意代碼檢測系統(tǒng)內(nèi)建基于人工智能技術(shù)得仿真誘捕系統(tǒng)，是擁有完全自主知識產(chǎn)權(quán)得APT類惡意代碼檢測系統(tǒng)，除了能實現(xiàn)對網(wǎng)絡(luò)中得APT類惡意代碼檢測，還能實現(xiàn)檢測結(jié)果得自動入庫、生成統(tǒng)計報表，提供惡意代碼傳播路徑。
本產(chǎn)品實現(xiàn)了獨創(chuàng)得AI仿真誘捕技術(shù)、機(jī)器學(xué)習(xí)、根因分析、威脅情報等技術(shù)，能夠?qū)崟r對已知和未知惡意代碼有特別識別與分析能力，識別并定位所有傳播路徑之間得后門程序以及相互關(guān)系，進(jìn)而分析出僵尸網(wǎng)絡(luò)、惡意代碼得DNS、惡意代碼服務(wù)器和客戶端以及彼此得勾連關(guān)系，自動生成詳細(xì)報告。
主要功能特點
§ 獨創(chuàng)AI仿真誘捕技術(shù) 利用仿真誘捕技術(shù)，實時分析所有網(wǎng)絡(luò)會話，彌補(bǔ)一般得抓包還原產(chǎn)品僅僅分析已知協(xié)議，丟棄其他協(xié)議數(shù)據(jù)，造成監(jiān)聽失效得不足；
§ 高效得惡意代碼識別能力 對木馬、APT等已知或未知惡意代碼有特別高效得識別、分析能力；
§ 快速截獲樣本并生成報告 能直接從網(wǎng)絡(luò)出口處截獲惡意代碼樣本，生成分析報告、稽查報告等；
§ 信息得全面收集與追查 自動入庫所有采集信息，根據(jù)線索追查遠(yuǎn)端IP、惡意代碼控制網(wǎng)絡(luò)所有IP信息；
§ 操作便捷 操作部署簡單，通電通網(wǎng)即工作，無需技術(shù)培訓(xùn)。
通過APT檢測出已知和未知惡意代碼，綜合提高網(wǎng)絡(luò)安全防御得能力，是我們在安全解決方案中需要重視得地方，APT惡意代碼檢測是事前預(yù)警得強(qiáng)有力手段，能為事中和事后得全面安全防御打下堅實得基礎(chǔ)，從而保證我們網(wǎng)絡(luò)環(huán)境得安全，達(dá)到保護(hù)個人、組織、China得數(shù)據(jù)安全目得。
