虚拟主机
NEW
APT攻击是什么？
发布时间：1970-01-01 08:00
阅读量：5759
APT 是 Advanced Persistent Threat 的缩写，中文译作"高级持续性威胁"。它指的是一类由高度组织化的攻击者（通常有国家背景或雄厚资源），针对特定高价值目标，长期隐蔽渗透并持续驻留，以窃取情报或达成战略目的的攻击活动。
术语在 2006 年前后由美国空军提出，2010 年"极光行动"（Operation Aurora，针对 Google 等公司源码仓库）后广为人知。
三个关键词各自意味着什么
Advanced（高级） 不是指每个环节都用尖端技术，而是指整体组织能力：定制化恶意软件、自研 0day、社会工程、供应链投毒、内存马、就地取材（Living off the Land）等，能够绕过常规边界防护。这是最容易被误解的一个词，后面会单独说。
Persistent（持续） 才是 APT 的本质。它不追求一击致命，而是追求长期驻留——通过计划任务、系统服务、注册表、驱动级后门等建立持久化机制，潜伏数月甚至数年，期间低频通信、慢速外传，规避检测。
Threat（威胁） 强调攻击者是有明确动机、明确目标和充足资源的对手，动机通常是情报窃取、战略控制，少数情况是破坏。
典型攻击链
业界常用洛克希德·马丁的 Cyber Kill Chain 描述其流程：
| 阶段 | 内容 |
|---|---|
| 侦察 | 收集目标组织架构、人员、供应商、技术栈信息 |
| 武器化 | 制作定向钓鱼文档、定制木马、准备漏洞利用 |
| 投递 | 鱼叉邮件、水坑攻击、供应链、U 盘摆渡、社工电话 |
| 利用 | 触发漏洞或诱导执行，获取初始立足点 |
| 安装 | 植入后门，建立持久化，安装远控组件 |
| 命令与控制 | 与 C2 服务器通信，流量伪装成正常业务、加密、走云端服务 |
| 目标达成 | 提权、横向移动、收集数据、外传或实施破坏 |
需要说明的是，真实 APT 不会线性走一遍就结束，而是循环往复：每次横向移动都重复利用、安装、C2 环节，同时维持多条备用信道。
和普通攻击的区别
| 维度 | 脚本小子 | 有组织犯罪（勒索） | APT |
|---|---|---|---|
| 动机 | 炫耀、小利 | 直接经济收益 | 情报、战略、政治 |
| 目标 | 随机、广泛撒网 | 有支付能力者 | 特定高价值目标 |
| 持续时间 | 小时到数天 | 数天到数周 | 数月至数年 |
| 资源 | 现成工具 | 商业化勒索软件 | 国家级人力、资金、时间 |
| 隐蔽性 | 低 | 中 | 极高，主动反检测反取证 |
| 手段 | 公开 EXP | 钓鱼加漏洞利用 | 定制工具链、社工、供应链 |
几个真实案例
2010 年 Stuxnet 震网，通过四个 0day 渗透伊朗核设施，属于罕见的破坏型 APT。2011 年 RSA SecurID 被窃，攻击者用钓鱼邮件加 0day 拿到种子文件。2013 年 Mandiant 发布 APT1 报告，首次系统披露某国背景组织的长期活动。2020 年 SolarWinds 供应链攻击，篡改软件更新通道，一次性影响大量美国政府部门，至今仍是供应链型 APT 的标杆案例。国内公开披露的有海莲花、蔓灵花、摩诃草、蓝宝菇等命名组织。
三个常见误区
以为 APT 全靠 0day。 实际上大量 APT 入侵用的是已知漏洞、弱口令和钓鱼，0day 只出现在关键环节。把它想象成高技术碾压，会导致防御重心放错——真正的大头是人的环节。
以为"高级"意味着每个步骤都精妙。 很多 APT 组织的初始入口手法相当朴素，甚至直接用社工电话把凭证要过来。所谓高级体现在整体规划、资源投入和长期对抗能力上。
以为 APT 只打政府和军工。 现在科技企业、供应链厂商、能源与关键基础设施、科研机构都是目标，而且打供应商往往是为了跳到它的大客户。
防御思路
APT 防御的核心前提是假设失陷（Assume Breach）：承认边界迟早会被突破，把资源从"百分之百拦住"转向"尽早发现、快速遏制"。这也是它和传统边界防御最根本的分歧。
降低入口概率：最小权限、网络分段、零信任架构、身份与多因素认证、补丁与虚拟补丁、邮件安全网关、供应链与第三方审查。这些手段挡不住定向攻击，但能提高成本。
提升可见性——这是对抗 APT 的重心：终端侧部署 EDR，网络侧做全流量留存与异常检测，日志集中化并保证留存周期足够长（APT 驻留数月，日志只存 30 天等于没存）；建立用户与实体行为基线；用威胁情报对接 IOC；以 MITRE ATT&CK 框架评估自身检测覆盖度；部署蜜罐和蜜标（canary token）制造早期告警点。
缩短驻留时间：行业报告显示，APT 从入侵到被发现的中位时间通常在数十天到数百天量级。真正决定损失大小的不是有没有被攻破，而是多久被发现。因此事件响应预案、取证能力、隔离与清除流程的演练，比采购更多防护设备更有价值。
人的环节：安全意识培训必须针对高管、财务、HR 等高风险岗位做定向演练，因为定向钓鱼是 APT 最稳定的入口。
