APT攻擊原理及防護技術研究

◆張 敬

（內蒙古軍區數據信息室 內蒙古 010000）

0 引言

APT是高級持續性的威脅攻擊，在攻擊之前會對攻擊的對象以及業務流程等信息進行有效的收集，通過對其存在的漏洞進行有針對性地進行攻擊，所以這種攻擊的力度比較大，在攻擊過程中也難以發現。很多公司都受到過 APT威脅，使其項目受到了很大的影響，通過控制重要的信息系統并將重要的信息進行竊取，并對存留的數據進行刪除后撤退，使得后續難以找到攻擊源。目前，很多企業已經將網絡安全危機進行控制，通過新一代的防御系統來對其進行持續的反應。應用數據安全防御功能來進行對抗，雖然不可能完全消除損失，但可以通過相應檢測方法和防護措施來盡量避免造成的損失。

1 APT 攻擊形式

1.1 Advanced（高級）

首先是要尋找具有價值的數據，攻擊者會根據目標公司進行長期的分析，這種攻擊是難以發現的。通過較長時間的研究，可以更加迅速地擊潰受攻擊者的防火墻。通過可利用的工具來進行攻擊，使其自定義的漏洞進行相應的操作。一般 APT攻擊通過使攻擊目標妥協，對其數據進行截取。對照以前所公布的漏洞來進行一個安全性的檢查，如果其中還有出現的問題那么會根據這個問題進行有針對性的攻擊。如果目標是良好的、沒有漏洞的，那么也可以使用一些之前未公開的攻擊點來進行訪問，從而找到更高價值的數據。

1.2 Persistent（持續）

找到了攻擊對象就要建立一個有針對性、高級的攻擊環境，一般攻擊者會運用多種技術來提升自己的準入權限，通過對漏洞以及其他防火墻等來建立自己永久的隱身環境，讓被攻擊者很難察覺自己的存在。一旦 APT建立了存在點，那么也很難通過簡單的方式來進行檢查，更難以去去除。這種強大的能量讓APT在長期的威脅下受到很多公司的重視，他們通過最大限度地將信息進行截取與盜用來使自己的利益最大化，將自己處于隱身環境進行擴大來提升 APT攻擊的有效性。攻擊的目的是讓自己可持續地進行訪問，對新環境和潛在價值的數據進行有效的提取，讓攻擊的效果得到提升。

1.3 Threat（威脅）

一般 APT攻擊的過程中選擇的目標都是特定的，會根據之前所收集的信息來進行分析，其目的側重于獲得資金、技術和一些商業機密，這樣能夠在各個方面都獲得相應的優勢。APT能夠有效地運用綜合能力和創新能力，使在攻擊過程中使用更多新型的病毒，使被攻擊者不發覺。APT攻擊的原理比其他傳統的攻擊方式更為復雜，在發動攻擊之前，其高級性已顯現，通過信息的收集對攻擊對象的業務流程和目標進行集中的分析，主動挖掘被攻擊對象中可能存在的漏洞，通過組建網絡并進行有針對性的攻擊。在當前的網絡空間中，很多信息都會暴露在網絡中，攻擊者可以利用很少的信息來對特定目標進行 APT攻擊，但是在我們的周圍對認知程度卻很低，很多用戶和企業對 APT的威脅力以及效果了解非常少，很多電子郵件和社交網站都已經打破了傳統黑客攻擊的模式，使用了更加強大的病毒以及鏈接來發動APT攻擊。作為一個企業，需要有效地對APT攻擊進行防護，采取更加安全的防護設備來保護自己的數據和網絡安全。如圖1為谷歌受APT攻擊事件過程。

圖1 谷歌受APT攻擊事件過程

2 APT 攻擊檢測

2.1 規劃和信息收集

APT攻擊一般是針對公司或者技術為一種方式來獲得初始的訪問空間，它們會直接獲得目標和情報，通過相應的定位來通過APT進行相關的搜索，以此獲取相關信息，進而進行攻擊。

2.2 攻擊與妥協

APT可以應用多種方法來發動攻擊，通過電子郵件相關鏈接以及社交媒體等都能應用一個惡意鏈接或者是相關附件作為一個出發點，通過被攻擊人的點擊來損害對方的防御系統。這些惡意電子郵件通過第一階段的信息收集，能夠實現個性化和目標化的攻擊，在打開電子郵件和附件的過程中提高攻擊效率，實現攻擊目的。

2.3 建立基地并控制

通過自動的、全方位對系統和網絡信息收集來建立相關的基地，對控制系統進行全方位的控制。應用一個信息渠道，能夠將被攻擊者所需要的信息進行提供，還能通過相應的軟件以及代碼等進行變異方式的攻擊，使被攻擊者殺毒防護的效能喪失，這種逃避被稱為變形，這樣也使得檢測和消除的難度大大增加。

2.4 保持持久性

在當前階段，可以由多個攻擊點對被攻擊者進行攻擊，通過服務器植入相應的病毒，使其攻擊能力得以提升，同時對方難以檢測到被攻擊點。相關系統檢測難度增強，從此可以長期地竊取數據，通過 APT的攻擊步驟可以看出其攻擊方式是多元化的，所以要想對其進行有效的防控，也需要對當前的防護技術進行提升，對網絡防護邊界進行加強，可以有效地提升對攻擊的防護能力。

2.5 盜取數據

隨著 APT攻擊范圍的不斷擴大，其攻擊已經從最初的主機網絡延伸到其他系統中。在延伸過程中，對信息的收集以及分析能夠傳回攻擊者的服務器中，攻擊者收集到這些信息是悄無聲息的，應用這種隱蔽的方式進行攻擊，能夠讓隱藏數據得以顯現。通過請求加密能夠讓更復雜的攻擊來將被攻擊者的隱藏信息竊取，對于多種類型文件都能夠進行盜取，從而進行有效的信息回傳。

3 APT 的攻擊防范

針對目前 APT攻擊的形式和原理，我們了解到要對攻擊進行防護需要系統完善的工程，這類威脅的防范需要一個龐大的監測及預防控制，才能讓企業和個人實現安全的網絡防護。通過建立大型的數據庫，可以對相應的數據進行分析、加密，使用特定的地址核對相應的瀏覽記錄來對數據庫的數據進行更新，在這個過程中可能對其中存在的安全風險和惡意軟件等進行屏蔽和識別，使得App攻擊目標被發掘出來。同時任何人和組織都可能是APT攻擊的目標，所以我們必須要考慮綜合的信息，不僅對自己的信息進行保護，還要對客戶的數據以及相關行業的數據進行防護。對于有針對性的攻擊目標來說，需要在加強周圍的環境的同時，通過識別的安全弱點來加強客戶或者業務范圍內的保護。如圖2為APT防御類型。

圖2 APT防御類型

通過對目前的防御體系進行分析，我們對于 APT的認知還屬于初級階段。APT攻擊模式處于不斷變化過程中，要想有效地對其防御也需要對企業員工進行安全教育。要提升員工的信息安全意識，對于來源不當的郵件以及鏈接不能點擊，同時也要重視對目前網絡規則的完善，對各個事件之間的關聯進行分析，阻止APT的攻擊，使用大數據以及云計算記錄可以建立相關的防護平臺，將所遇到的攻擊模型進行關聯，在互聯網共享實施網絡安全以及數據安全，通過相關人員的有效連接能夠實現可持續性的防護，對APT攻擊進行防范。如圖3為警報系統。

圖3 警報系統

4 結束語

綜上所述，目前攻擊防范工作是一項長期而艱難的工作，對APT攻擊的原理進行分析，則需要我們具備進一步的發現問題并解決問題的能力。對目前攻擊難題進行有針對性的處理，以互聯網為基礎，在社交工程和物理訪問的技術手段不斷更新的過程中，需要我們對防范策略進行創新，應用更加規范的管理方式，來有效的對抗APT攻擊，讓我們的數據和信息得以有效保護。