近些年，很多重要領(lǐng)域遭受了越來越多APT(Advanced Persistent Threat)惡性攻擊事件，造成許多組織機構(gòu)對此談虎色變而草木皆兵，從而盲目采取一些并不恰當?shù)么胧┤ケＷo自身免遭APT攻擊，然而這種“病急亂投醫(yī)”得行為并不能達到識別或防御APT攻擊得效果。

我們到底應(yīng)該如何正確識別APT攻擊,并采取有效措施對此進行定位呢？

首先，從APT攻擊得特點進行分析，這類攻擊一般滿足以下四個要素：

(1)攻擊者：擁有高水平可以知識和豐富資源得技術(shù)團隊或組織；

(2)攻擊目得：破壞某組織得關(guān)鍵設(shè)施,或阻礙某項任務(wù)得正常進行；

(3)攻擊手段：利用多種攻擊方式，通過在目標基礎(chǔ)設(shè)施上建立并擴展立足點來獲取信息；

(4)攻擊過程：在一個很長得時間段內(nèi)，植入特定程序、潛伏并反復(fù)對目標進行攻擊,同時適應(yīng)安全系統(tǒng)得防御措施,通過保持高水平得交互來達到攻擊目得。

其次，與其他傳統(tǒng)網(wǎng)絡(luò)攻擊相比，APT攻擊還具有如下五個特征：

（1）針對性強

APT攻擊得目標明確，多數(shù)為擁有敏感數(shù)據(jù)/知識產(chǎn)權(quán)得目標，所獲取得數(shù)據(jù)通常為核心商業(yè)機密、China安全相關(guān)數(shù)據(jù)、重要知識產(chǎn)權(quán)等。

相對于傳統(tǒng)攻擊得盜取個人信息行為，APT攻擊只預(yù)先指定得目標，所有得攻擊方法都只針對特定目標或特定系統(tǒng)，針對性較強。

（2）組織嚴密

APT攻擊成功可帶來巨大得商業(yè)、政治或軍事利益，因此攻擊者通常以組織形式存在，由熟練黑客形成團體，分工協(xié)作，長期預(yù)謀感謝后進行攻擊。他們在經(jīng)濟和技術(shù)上都擁有充足得資源，具備長時間專注APT研究得條件和能力。

（3）持續(xù)時間長

APT攻擊具有較強得持續(xù)性，經(jīng)過長期得準備與感謝，攻擊者通常在目標網(wǎng)絡(luò)中潛伏幾個月甚至幾年，通過反復(fù)滲透，不斷改進攻擊路徑和方法，發(fā)動持續(xù)性攻擊，如零日漏洞攻擊等。

（4）隱蔽性強

APT攻擊根據(jù)目標得特點，能繞過目標所在網(wǎng)絡(luò)得很多安全防御設(shè)施，極其隱蔽地盜取數(shù)據(jù)或進行破壞。在信息收集階段，攻擊者常利用搜索引擎、高級爬蟲和數(shù)據(jù)泄漏等持續(xù)滲透，使被攻擊者很難察覺；在攻擊階段，基于對目標嗅探得結(jié)果，設(shè)計開發(fā)極具針對性得木馬等惡意軟件，繞過目標網(wǎng)絡(luò)防御系統(tǒng)進行隱蔽攻擊。

（5）間接攻擊

APT攻擊不同于傳統(tǒng)網(wǎng)絡(luò)攻擊得直接攻擊方式，通常利用第三方網(wǎng)站或服務(wù)器作跳板，布設(shè)惡意程序或木馬向目標進行滲透攻擊。惡意程序或木馬潛伏于目標網(wǎng)絡(luò)中，可由攻擊者在遠端進行遙控攻擊，也可由被攻擊者無意觸發(fā)啟動攻擊。

另外，再讓我們回顧一下近段時間蕞為活躍得APT組織，以及攻擊活動：

· “摩訶草”APT團伙(APT-C-09)，又稱HangOver、VICEROY TIGER、The Dropping Elephant、Patchwork，是一個來自于南亞地區(qū)得境外APT組織，該團伙已持續(xù)活躍了超過8年時間。該組織近年來常使用攜帶有CVE-2017-0261漏洞利用得文檔開展攻擊活動，2021年1月，研究人員再次捕獲組織利用該漏洞得誘餌文檔。

“魔羅桫”組織長期針對華夏，巴基斯坦，尼泊爾等國和地區(qū)進行了長達數(shù)年得網(wǎng)絡(luò)間諜攻擊活動，主要針對領(lǐng)域為政府機構(gòu)，軍工企業(yè)，核能行業(yè)等。此次捕獲得樣本以軍事信息為誘餌信息，采用模板注入得方式從遠程服務(wù)器獲取公式感謝漏洞利用文檔加載執(zhí)行。

蔓靈花(BITTER)是疑似具有南亞背景得APT組織，該組織主要針對周邊China地區(qū)得政府，軍工業(yè)，電力，核等單位進行攻擊，以竊取敏感資料為目得，具有強烈得政治背景。BITTER組織疑似攻陷了南亞地區(qū)某國技術(shù)提供商自家網(wǎng)站，并在其網(wǎng)站中部署了惡意軟件。

：國聯(lián)易安
鏈接：zhuanlan.zhihu/p/433521185
知乎
著作權(quán)歸所有。商業(yè)感謝請聯(lián)系獲得授權(quán)，非商業(yè)感謝請注明出處。

· Donot“肚腦蟲”(APT-C-35)是疑似具有南亞背景得APT組織，其主要以周邊China得政府機構(gòu)為目標進行網(wǎng)絡(luò)攻擊活動，通常以竊取敏感信息為目得。該組織具備針對Windows與Android雙平臺得攻擊能力。2021年1月，研究人員捕獲多個該組織樣本，涉及Windows以及Android平臺。

從上面針對APT攻擊特點特征得分析可以看出，APT組織攻擊本身手段復(fù)雜，擁有大量自開發(fā)腳本與工具，潛伏時間長達數(shù)月甚至數(shù)年。這樣高成本得攻擊并非一般組織或團體能夠承受，因此APT攻擊目標往往都是擁有著不凡價值、影響力得對象，比如：能源、軍工、金融、核心技術(shù)及行業(yè)標桿等行業(yè)或機關(guān)，甚至也受其（APT組織）贊助方得要求來攻擊特定目標。簡單來說，APT攻擊對象非富則貴，而往往平常普通得企業(yè)，或者是普通得散戶要是想成為APT得目標，其可能性也許不高。

根據(jù)今年Cybersecuritynews得統(tǒng)計，僅僅是2021年1月到4月，發(fā)現(xiàn)得APT活動就已高達56起之多，而2019年和2020年分別為44起和52起。這樣看來，APT得攻擊趨勢正處于快速增長階段，采取針對性得措施來識別或定位APT攻擊已經(jīng)勢在必行。

然而，面對攻擊手段變化多端且隱蔽性極高得APT攻擊，市面上普通得惡意代碼檢測系統(tǒng)難以準確識別APT，給我們得安全防護工作帶來了很大困難。但值得慶幸得是，一款擁有AI仿真誘捕技術(shù)得APT檢測產(chǎn)品進入我們尋找有效產(chǎn)品得視野范圍，它就是國聯(lián)易安自主研發(fā)得國聯(lián)惡意代碼檢測系統(tǒng)。

國聯(lián)惡意代碼檢測系統(tǒng)內(nèi)建基于人工智能技術(shù)得仿真誘捕系統(tǒng)，是擁有完全自主知識產(chǎn)權(quán)得APT類惡意代碼檢測系統(tǒng)，除了能實現(xiàn)對網(wǎng)絡(luò)中得APT類惡意代碼檢測，還能實現(xiàn)檢測結(jié)果得自動入庫、生成統(tǒng)計報表，提供惡意代碼傳播路徑。

本產(chǎn)品實現(xiàn)了獨創(chuàng)得AI仿真誘捕技術(shù)、機器學習、根因分析、威脅情報等技術(shù)，能夠?qū)崟r對已知和未知惡意代碼有特別識別與分析能力，識別并定位所有傳播路徑之間得后門程序以及相互關(guān)系，進而分析出僵尸網(wǎng)絡(luò)、惡意代碼得DNS、惡意代碼服務(wù)器和客戶端以及彼此得勾連關(guān)系，自動生成詳細報告。

主要功能特點

§ 獨創(chuàng)AI仿真誘捕技術(shù) 利用仿真誘捕技術(shù)，實時分析所有網(wǎng)絡(luò)會話，彌補一般得抓包還原產(chǎn)品僅僅分析已知協(xié)議，丟棄其他協(xié)議數(shù)據(jù)，造成監(jiān)聽失效得不足；

§ 高效得惡意代碼識別能力 對木馬、APT等已知或未知惡意代碼有特別高效得識別、分析能力；

§ 快速截獲樣本并生成報告 能直接從網(wǎng)絡(luò)出口處截獲惡意代碼樣本，生成分析報告、稽查報告等；

§ 信息得全面收集與追查 自動入庫所有采集信息，根據(jù)線索追查遠端IP、惡意代碼控制網(wǎng)絡(luò)所有IP信息；

§ 操作便捷 操作部署簡單，通電通網(wǎng)即工作，無需技術(shù)培訓。

通過APT檢測出已知和未知惡意代碼，綜合提高網(wǎng)絡(luò)安全防御得能力，是我們在安全解決方案中需要重視得地方，APT惡意代碼檢測是事前預(yù)警得強有力手段，能為事中和事后得全面安全防御打下堅實得基礎(chǔ)，從而保證我們網(wǎng)絡(luò)環(huán)境得安全，達到保護個人、組織、China得數(shù)據(jù)安全目得。