網(wǎng)絡(luò)安全系統(tǒng)之新型APT攻擊

高級持續(xù)性威脅攻擊, 簡稱APT攻擊，也被稱為定向威脅攻擊，它是指利用各種先進的攻擊手段，對高價值目標進行的有組織、長期持續(xù)性網(wǎng)絡(luò)攻擊行為。APT攻擊需要長期經(jīng)營與策劃，才可能取得成功，因此具有極強的隱蔽性和針對性。

它往往不會追求短期的經(jīng)濟收益和單純的系統(tǒng)破壞，而是專注于步步為營的系統(tǒng)入侵。該類網(wǎng)絡(luò)攻擊是以商業(yè)和政治為目的的一個網(wǎng)絡(luò)犯罪類別。

APT攻擊的特征，APT攻擊每一步都要達到一個目標，不會做其他多余的事來打草驚蛇。因此，它具有以下五個特征：高目的性，攻擊目標是擁有高價值敏感數(shù)據(jù)的高級用戶，特別是可能影響到國家和地區(qū)政治等領(lǐng)域的高級別敏感數(shù)據(jù)持有者、 甚至各種工業(yè)控制系統(tǒng)。高隱蔽性，APT攻擊存在于組織內(nèi)部，已經(jīng)與被攻擊對象的可信程序漏洞與業(yè)務(wù)系統(tǒng)漏洞進行了融合，不易被發(fā)現(xiàn)。

高危害性，APT攻擊的持續(xù)時間長，攻擊和威脅可能在用戶環(huán)境中存在一年以上。組織嚴密，攻擊者通常由熟練黑客形成團體，分工協(xié)作。他們在經(jīng)濟和技術(shù)上都擁有充足的資源，具備長時間專注APT研究的條件和能力。間接攻擊，APT攻擊通常利用第三方網(wǎng)站或服務(wù)器作跳板，布設(shè)惡意程序或木馬向目標進行滲透攻擊。

APT攻擊的入侵途徑，APT攻擊通常通過以下六種途徑入侵到目標網(wǎng)絡(luò)中：1、通過SQL注入等攻擊手段突破面向外網(wǎng)的Web Server；2、通過被入侵的Web Server做跳板，對內(nèi)網(wǎng)的其他服務(wù)器或桌面終端進行掃描，并為進一步入侵做準備；3、通過密碼爆破或者發(fā)送欺詐郵件，獲取管理員帳號，并最終突破AD服務(wù)器或核心開發(fā)環(huán)境。

4、被攻擊者的私人郵箱自動發(fā)送郵件副本給攻擊者；5、通過植入惡意軟件，如木馬、后門、Downloader等惡意軟件，回傳大量的敏感文件（WORD、PPT、PDF、CAD文件等）；6、通過高層主管郵件，發(fā)送帶有惡意程序的附件，誘騙員工點擊并入侵內(nèi)網(wǎng)終端。

APT攻擊的攻擊步驟，APT攻擊可以大致分為探測期、入侵期、潛伏期、退出期4個階段。

第一階段為探測期，主要進行信息收集，攻擊者使用技術(shù)和社會工程學手段收集大量關(guān)于系統(tǒng)業(yè)務(wù)流程和使用情況等關(guān)鍵信息，通過整理和分析，得出系統(tǒng)可能存在的安全弱點。同時收集漏洞、編制木馬程序、制訂攻擊計劃，為下一階段的攻擊做準備。

第二階段為入侵期，發(fā)動初始攻擊，命令和控制，攻擊者利用Oday漏洞，通過郵件、U盤、惡意網(wǎng)頁等方式，向目標投遞攻擊載荷。木馬程序反向連接到命令和控制服務(wù)器，等待接收來自攻擊者的控制指令。

第三階段為潛伏期，發(fā)動后續(xù)攻擊，進行橫向滲透，回傳資料，攻擊者成功入侵目標網(wǎng)絡(luò)后，隱藏自身尋找實施進一步行動的最佳時機。利用被控制的內(nèi)部計算機作為跳板機，向單位內(nèi)部進行全面滲透。

第四階段為退出期，進行痕跡清理，APT攻擊的目的達成后，APT代碼需要對其在目標網(wǎng)絡(luò)中存留的痕跡進行銷毀（將滯留過的主機進行狀態(tài)還原，并恢復網(wǎng)絡(luò)配置參數(shù)，清除系統(tǒng)日志數(shù)據(jù)），使事后電子取證分析和責任認定難以進行。

APT攻擊的防范方式，1、使用威脅情報。企業(yè)必須確保情報的相關(guān)性和及時性。2、建立強大的出口規(guī)則。除網(wǎng)絡(luò)流量（必須通過代理服務(wù)器）外，阻止企業(yè)的所有出站流量，阻止所有數(shù)據(jù)共享和未分類網(wǎng)站。阻止SSH、FTP、Telnet或其他端口和協(xié)議離開網(wǎng)絡(luò)。這可以打破惡意軟件到C2主機的通信信道，阻止未經(jīng)授權(quán)的數(shù)據(jù)滲出網(wǎng)絡(luò)。

3、企業(yè)應(yīng)該收集和分析對關(guān)鍵網(wǎng)絡(luò)和主機的詳細日志記錄以檢查異常行為。4、聘請安全分析師。安全分析師的作用是配合威脅情報、日志分析以及提醒對APT的積極防御。5、企業(yè)要加強員工的安全意識，例如禁止瀏覽危險網(wǎng)站，禁止查閱不明郵件或程序等。

6、針對特定的APT攻擊方式，采用傳統(tǒng)的被動防御方法，即使用高防御的病毒防護軟件。7、采用主動防御方法，基于程序行為自主分析判斷的實時防護技術(shù)，能夠有效解決傳統(tǒng)防御方法的弊端，例如使用了誘騙技術(shù)的沙箱技術(shù)和蜜罐技術(shù)。