高級(jí)持續(xù)性威脅攻擊, 簡(jiǎn)稱APT攻擊，也被稱為定向威脅攻擊，它是指利用各種先進(jìn)的攻擊手段，對(duì)高價(jià)值目標(biāo)進(jìn)行的有組織、長(zhǎng)期持續(xù)性網(wǎng)絡(luò)攻擊行為。APT攻擊需要長(zhǎng)期經(jīng)營(yíng)與策劃，才可能取得成功，因此具有極強(qiáng)的隱蔽性和針對(duì)性。

它往往不會(huì)追求短期的經(jīng)濟(jì)收益和單純的系統(tǒng)破壞，而是專注于步步為營(yíng)的系統(tǒng)入侵。該類網(wǎng)絡(luò)攻擊是以商業(yè)和政治為目的的一個(gè)網(wǎng)絡(luò)犯罪類別。

APT攻擊的特征，APT攻擊每一步都要達(dá)到一個(gè)目標(biāo)，不會(huì)做其他多余的事來(lái)打草驚蛇。因此，它具有以下五個(gè)特征：高目的性，攻擊目標(biāo)是擁有高價(jià)值敏感數(shù)據(jù)的高級(jí)用戶，特別是可能影響到國(guó)家和地區(qū)政治等領(lǐng)域的高級(jí)別敏感數(shù)據(jù)持有者、 甚至各種工業(yè)控制系統(tǒng)。高隱蔽性，APT攻擊存在于組織內(nèi)部，已經(jīng)與被攻擊對(duì)象的可信程序漏洞與業(yè)務(wù)系統(tǒng)漏洞進(jìn)行了融合，不易被發(fā)現(xiàn)。

高危害性，APT攻擊的持續(xù)時(shí)間長(zhǎng)，攻擊和威脅可能在用戶環(huán)境中存在一年以上。組織嚴(yán)密，攻擊者通常由熟練黑客形成團(tuán)體，分工協(xié)作。他們?cè)诮?jīng)濟(jì)和技術(shù)上都擁有充足的資源，具備長(zhǎng)時(shí)間專注APT研究的條件和能力。間接攻擊，APT攻擊通常利用第三方網(wǎng)站或服務(wù)器作跳板，布設(shè)惡意程序或木馬向目標(biāo)進(jìn)行滲透攻擊。

APT攻擊的入侵途徑，APT攻擊通常通過(guò)以下六種途徑入侵到目標(biāo)網(wǎng)絡(luò)中：1、通過(guò)SQL注入等攻擊手段突破面向外網(wǎng)的Web Server；2、通過(guò)被入侵的Web Server做跳板，對(duì)內(nèi)網(wǎng)的其他服務(wù)器或桌面終端進(jìn)行掃描，并為進(jìn)一步入侵做準(zhǔn)備；3、通過(guò)密碼爆破或者發(fā)送欺詐郵件，獲取管理員帳號(hào)，并最終突破AD服務(wù)器或核心開(kāi)發(fā)環(huán)境。

4、被攻擊者的私人郵箱自動(dòng)發(fā)送郵件副本給攻擊者；5、通過(guò)植入惡意軟件，如木馬、后門、Downloader等惡意軟件，回傳大量的敏感文件（WORD、PPT、PDF、CAD文件等）；6、通過(guò)高層主管郵件，發(fā)送帶有惡意程序的附件，誘騙員工點(diǎn)擊并入侵內(nèi)網(wǎng)終端。

APT攻擊的攻擊步驟，APT攻擊可以大致分為探測(cè)期、入侵期、潛伏期、退出期4個(gè)階段。

第一階段為探測(cè)期，主要進(jìn)行信息收集，攻擊者使用技術(shù)和社會(huì)工程學(xué)手段收集大量關(guān)于系統(tǒng)業(yè)務(wù)流程和使用情況等關(guān)鍵信息，通過(guò)整理和分析，得出系統(tǒng)可能存在的安全弱點(diǎn)。同時(shí)收集漏洞、編制木馬程序、制訂攻擊計(jì)劃，為下一階段的攻擊做準(zhǔn)備。

第二階段為入侵期，發(fā)動(dòng)初始攻擊，命令和控制，攻擊者利用Oday漏洞，通過(guò)郵件、U盤、惡意網(wǎng)頁(yè)等方式，向目標(biāo)投遞攻擊載荷。木馬程序反向連接到命令和控制服務(wù)器，等待接收來(lái)自攻擊者的控制指令。

第三階段為潛伏期，發(fā)動(dòng)后續(xù)攻擊，進(jìn)行橫向滲透，回傳資料，攻擊者成功入侵目標(biāo)網(wǎng)絡(luò)后，隱藏自身尋找實(shí)施進(jìn)一步行動(dòng)的最佳時(shí)機(jī)。利用被控制的內(nèi)部計(jì)算機(jī)作為跳板機(jī)，向單位內(nèi)部進(jìn)行全面滲透。

第四階段為退出期，進(jìn)行痕跡清理，APT攻擊的目的達(dá)成后，APT代碼需要對(duì)其在目標(biāo)網(wǎng)絡(luò)中存留的痕跡進(jìn)行銷毀（將滯留過(guò)的主機(jī)進(jìn)行狀態(tài)還原，并恢復(fù)網(wǎng)絡(luò)配置參數(shù)，清除系統(tǒng)日志數(shù)據(jù)），使事后電子取證分析和責(zé)任認(rèn)定難以進(jìn)行。

APT攻擊的防范方式，1、使用威脅情報(bào)。企業(yè)必須確保情報(bào)的相關(guān)性和及時(shí)性。2、建立強(qiáng)大的出口規(guī)則。除網(wǎng)絡(luò)流量（必須通過(guò)代理服務(wù)器）外，阻止企業(yè)的所有出站流量，阻止所有數(shù)據(jù)共享和未分類網(wǎng)站。阻止SSH、FTP、Telnet或其他端口和協(xié)議離開(kāi)網(wǎng)絡(luò)。這可以打破惡意軟件到C2主機(jī)的通信信道，阻止未經(jīng)授權(quán)的數(shù)據(jù)滲出網(wǎng)絡(luò)。

3、企業(yè)應(yīng)該收集和分析對(duì)關(guān)鍵網(wǎng)絡(luò)和主機(jī)的詳細(xì)日志記錄以檢查異常行為。4、聘請(qǐng)安全分析師。安全分析師的作用是配合威脅情報(bào)、日志分析以及提醒對(duì)APT的積極防御。5、企業(yè)要加強(qiáng)員工的安全意識(shí)，例如禁止瀏覽危險(xiǎn)網(wǎng)站，禁止查閱不明郵件或程序等。

6、針對(duì)特定的APT攻擊方式，采用傳統(tǒng)的被動(dòng)防御方法，即使用高防御的病毒防護(hù)軟件。7、采用主動(dòng)防御方法，基于程序行為自主分析判斷的實(shí)時(shí)防護(hù)技術(shù)，能夠有效解決傳統(tǒng)防御方法的弊端，例如使用了誘騙技術(shù)的沙箱技術(shù)和蜜罐技術(shù)。