Hvad er en avanceret længerevarende trussel (APT)?

Oversigt over APT

En avanceret længerevarende trussel er et langvarigt, målrettet cyberangreb, der er designet til at infiltrere en organisation og forblive skjult så længe som muligt. I modsætning til brede angreb, der leder efter lette mål, er APT'er kalkulerede og målrettede. Angribere vælger deres mål omhyggeligt og går ofte efter værdifulde enheder som myndigheder, kritisk infrastruktur eller store virksomheder. De arbejder metodisk for at få adgang og forbliver der.

Målet med en APT er lydløst at overvåge aktivitet, stjæle følsomme data eller forstyrre driften uden at alarmere offeret. Disse kampagner udfolder sig ofte over uger, måneder eller endda år. På grund af deres diskrethed og kompleksitet kan APT’er være svære at opdage og endnu sværere at inddæmme, når de først har slået rod.

Vigtige budskaber

APT'er er langvarige, målrettede angreb, der kan forblive skjulte i organisationer i måneder eller år.
Angribere bruger avancerede værktøjer som zero-day-sårbarheder, brugerdefineret malware og social engineering til at omgå forsvar.
APT-kampagner følger koordinerede faser som første adgang, lateral bevægelse og forstyrrelse eller datatyveri.
Almindelige mål omfatter sektorerne offentlig sektor, finans, sundhed, teknologi og kritisk infrastruktur.
Registrering og svar kræver koordinerede strategier for registrering af afvigelser, trusselsintelligens, undersøgelse og afhjælpning.
Bedste praksis som opdatering, medarbejdertræning og netværkssegmentering hjælper med at reducere APT-risikoen.

Det skal du vide om APT'er

Hvis du vil beskytte din organisation mod langvarige, målrettede angreb, er det vigtigt at forstå APT'er, og hvordan de fungerer. Disse trusler omgår ikke bare forsvaret. De integrerer sig selv i dit miljø og bliver der.

Hvis du vil beskytte din organisation mod langvarige, målrettede angreb, er det vigtigt at forstå APT'er, og hvordan de fungerer. Disse egenskaber gør dem til en af de mest udfordrende trusler for sikkerhedsteams at håndtere:

Avanceret: Angribere bruger specialiserede værktøjer og taktikker, der er designet til at undgå traditionelle sikkerhedskontroller, såsom zero-day-sårbarheder, brugerdefineret malware og operationer med flere trin.
Længerevarende: APT'er er ikke enkeltstående hændelser. Angribere arbejder løbende på at bevare adgangen ved hjælp af en række teknikker til at undgå registrering og genoprette kontrollen, hvis de bliver forstyrret.
Trussel: Disse kampagner udføres af velfunderede, dygtige modspillere. Mange er forbundet med statsstøttede grupper eller store kriminelle netværk, der opererer med et klart formål og langsigtede mål.

Ved at forstå disse egenskaber kan sikkerheds- og it-ledere mere effektivt vurdere risiko, opbygge robuste forsvar og reducere den tid, angriberne tilbringer i deres miljøer.

Sådan fungerer APT'er

APT-aktører er stærkt motiverede og støttes ofte af betydelige økonomiske ressourcer. De bruger tid på at undersøge et måls infrastruktur, identificere svage punkter og udvikle skræddersyede strategier til at udnytte dem. Når de er inde, forsøger de at forblive uopdagede, mens de bevæger sig lateralt på tværs af systemer, indsamler data eller forbereder mere omfattende forstyrrelser. Dette niveau af diskretion gør det særligt vanskeligt at opdage og reagere i tide.

APT'er udfolder sig i koordinerede faser, der er designet til at maksimere påvirkningen og undgå registrering.

Rekognoscering og planlægning: Før de iværksætter et angreb, udfører APT-grupper omfattende research om målet. Det omfatter indsamling af oplysninger om systemer, personale, leverandører og potentielle sårbarheder, ofte ved hjælp af open source-intelligens eller scanningsværktøjer.
Indledende kompromittering: Angribere bryder ind i netværket via metoder som phishing-mails, udnyttelse af kendte eller ukendte (zero-day) sårbarheder eller brug af stjålne legitimationsoplysninger. Målet er at etablere det første indgangspunkt.
Etablering af fodfæste: Når de er inde, implementerer angriberne brugerdefineret malware, installerer bagdøre eller opretter nye brugerkonti for at sikre vedvarende adgang. Det sikrer, at de kan vende tilbage, selv hvis ét adgangspunkt lukkes.
Eskalering af rettigheder: Hvis de vil have adgang til følsomme systemer eller data, arbejder APT-aktører på at forhøje deres privilegier, ofte ved at udnytte fejlkonfiguration af systemer, stjæle administrative legitimationsoplysninger eller udnytte sårbarheder til forhøjelse af privilegier.
Lateral bevægelse: Angribere bevæger sig rundt på tværs af netværket og går fra system til system for at kortlægge miljøet, indsamle data og identificere værdifulde aktiver. Denne fase omfatter ofte tilsidesættelse af interne forsvar og sikkerhedsværktøjer.
Dataudtrækning eller forstyrrelse: Når de er positioneret, kan APT-grupper lydløst stjæle følsomme data, såsom intellektuel ejendom, finansielle optegnelser eller fortrolige kommunikationer. De kan også forberede sig på mere forstyrrende aktiviteter, herunder udrulning afransomware eller start af et DDoS-angreb (Distributed Denial-of-Service).
Bevarelse af diskretion og vedholdenhed: Gennem hele forløbet tilpasser angriberne løbende deres metoder for at forblive skjulte. De kan rotere kommando- og kontrolservere (C2), bruge krypteret kommunikation og opdatere malware for at undgå registrering.

APT-grupper er afhængige af en række angrebsvektorer til at udføre disse faser, herunder:

Spear-phishing-mails, der retter sig mod bestemte medarbejdere.
Brugerdefineret malware, der er udformet til det specifikke miljø.
Udnyttelsespakker, der automatiserer dele af angrebsprocessen.
Zero-day-sårbarheder, der retter sig mod ikke-rettede sårbarheder.
Kommando- og kontrolservere til fjernadministration.
Social engineering-taktikker til at manipulere insidere.
Forsyningskædeangreb, der kompromitterer pålidelige tredjeparter.

Almindelige mål og eksempler fra den virkelige verden

Grupper inden for avanceret længerevarende trussel er blandt de mest formidable modspillere i cybersikkerhed. Støttet af lande eller velhavende organisationer gennemfører disse grupper langvarige, målrettede kampagner med henblik på spionage, datatyveri eller forstyrrelse. Deres operationer strækker sig ofte over måneder eller år og fokuserer på sektorer, der er afgørende for national og økonomisk sikkerhed.

Almindelige mål for APT-grupper
APT-aktører går typisk efter store organisationer eller institutioner.

Offentlige myndigheder og forsvarsorganisationer: Søger efter efterretninger og strategiske fordele.
Pengeinstitutter: Har til formål at få adgang til følsomme finansielle data eller forstyrre den økonomiske stabilitet.
Sundhedsudbydere: Målretter personlige sundhedsoplysninger og forskningsdata.
Teknologivirksomheder: Forsøger at få fat i intellektuel ejendom og proprietære teknologier.
Sektorer for kritisk infrastruktur: Herunder energi, transport og telekommunikation, hvor forstyrrelser kan få vidtrækkende konsekvenser.

Bemærkelsesværdige APT-grupper
Flere APT-grupper er blevet identificeret og sporet af teknikere inden for cybersikkerhed. Nogle af de mest nævneværdige grupper omfatter:

APT28 (Fancy Bear) –Man mener, at gruppen er knyttet til russisk militær efterretning, og den har angrebet offentlige myndigheder og militære organisationer ved at bruge spear-phishing og malware til at infiltrere netværk.
APT29 (Cozy Bear) –APT29 er forbundet med russiske efterretningstjenester og har fokuseret på diplomatiske og offentlige enheder ved at bruge avanceret malware og diskrete teknikker til at udtrække data.
Lazarus Group –Lazarus, der menes at have tilknytning til Nordkorea, har gennemført operationer, der spænder fra økonomisk tyveri til lammende angreb på medie- og underholdningssektoren.

APT-casestudier
Grupper for avanceret længerevarende trussel har udført adskillige avancerede cyberangreb på tværs af forskellige sektorer. Eksemplerne nedenfor viser deres metoder og konsekvenser.

Cyberangreb på et førende amerikansk forsikringsselskab: I marts 2021 blev et førende amerikansk forsikringsselskab ramt af et ransomware-angreb, der forstyrrede flere tjenester. Angriberne brugte ransomware til at kryptere filer og udtrække data, hvilket påvirkede over 75.000 personer. Bruddet krævede en kostbar undersøgelse, juridisk håndtering og genopretning, der varede i flere måneder, for at sikre de berørte systemer og underrette de berørte kunder.
Kompromittering af et lands energiinfrastruktur: I 2023 blev 22 virksomheder i den danske energisektor mål for et koordineret angreb, der udnyttede en sårbarhed i en firewall. Angriberne fik uautoriseret adgang til nogle virksomheders industrielle styresystemer, hvilket førte til betydelige driftsforstyrrelser.
Brud på en stor sundhedsorganisations it-tjenester: I februar 2024 blev en it-afdeling inden for Sundhedssektoren ramt af et omfattende cyberangreb, hvilket forstyrrede patientbehandlingen og førte til tyveri af beskyttede sundhedsoplysninger. Angriberne brugte ransomware til at kryptere filer og udtrække data, der tilhørte anslået 190 millioner mennesker.

Disse tilfælde viser, at APT-trusler er langvarig og under konstant udvikling, hvilket understreger behovet for robuste cybersikkerhedsforanstaltninger mod APT'er på tværs af alle sektorer.

Registrering og svar på et APT'er

Cyberangreb fra APT'er er designet til at blande sig med normal netværksaktivitet, hvilket gør dem svære at opdage med standard sikkerhedsværktøjer. Men der er advarselstegn – hvis du ved, hvor du skal lede.

Indikatorer for kompromittering (IOC'er)
IOC'er er de sporinger, der efterlades af skadelig aktivitet. Ved APT-angreb kan disse omfatte:

Usædvanlige loginmønstre, f.eks. adgang fra uventede placeringer eller på usædvanlige tidspunkter.
Uventet netværkstrafik mellem interne systemer og eksterne servere.
Tilstedeværelsen af ukendte eller mistænkelige filer, scripts eller brugerkonti.
Brug af værktøjer, der typisk forbindes med angribere, f.eks. credential dumpers eller frameworks til lateral bevægelse.
Tegn på dataudtrækning, herunder store eller uforklarlige udgående overførsler.

Ved at genkende disse signaler tidligt kan du forkorte angriberens tid i dit miljø og reducere den potentielle skade.

Strategier til at opdage APT-aktiviteter
Det kræver en kombination af teknologi, processer og mennesker at opdage APT'er. Effektive strategier omfatter:

Registrering af uregelmæssigheder – Overvågning af aktivitet, der ligger uden for etablerede baselines, f.eks. stigninger i dataadgang eller usædvanlige administrative handlinger.
Efterretninger om cybertrussel – Brug af opdaterede feeds med oplysninger om trusler til at holde dig orienteret om de nyeste angrebsteknikker, værktøjer og profiler af trusselsaktører.
Slutpunkts- og netværksovervågning—Udrulning af værktøjer, der giver synlighed på tværs af slutpunkter, cloudtjenester og netværkstrafik, hvilket hjælper med at registrere tegn på kompromis i realtid.
Proaktiv jagt på cybertrusler – Aktivt at søge efter skjulte trusler i dit miljø, selv når der ikke er udløst nogen underretninger.

Tilsammen styrker disse tilgange din evne til at opdage APT-aktivitet tidligt, før den forårsager varig skade.

Reaktion på et APT-angreb
Hvis et APT-cyberangreb opdages, er det afgørende at handle hurtigt og følge de relevante trin for at genvinde kontrollen, lukke sikkerhedshuller og lære af hændelsen, så du kan opbygge et mere robust sikkerhedsniveau.

Inddæmning: Isolér berørte systemer eller konti for at forhindre yderligere spredning.
Undersøgelse: Analysér logfiler, trafik og systemadfærd for at forstå angriberens bevægelser, mål og metoder.
Afhjælpning: Fjern skadelige værktøjer, patch udnyttede sårbarheder, og gendan berørte systemer.
Genoprettelse og gennemgang: Genoptag normal drift, mens du gennemfører en grundig hændelsesgennemgang for at styrke forsvaret og forhindre gentagelser.

Forebyggelse af APT'er

Forebyggelse af avancerede vedvarende trusler kræver mere end et enkelt værktøj eller produkt. Det kræver en sikkerhedsstrategi med flere lag. Da APT-grupper bruger en række taktikker til at infiltrere og forblive i et netværk, handler forsvar mod dem om at lukke huller på tværs af mennesker, processer og teknologi:

Oplære medarbejdere i at genkende almindelige angrebsvektorer og reagere korrekt.
At etablere politikker og procedurer, der begrænser eksponeringen og forbedrer modstandsdygtigheden.
Brug af opdaterede sikkerhedsværktøjer, der giver synlighed, registrering og beskyttelse på tværs af hele dit digitale miljø.

Løsninger som MDR-tjenester (Administreret registrering og svar) tilbyde en kombination af teknologi og menneskelig ekspertise.

Bedste praksis for APT-forebyggelse
Selv om intet forsvar er perfekt, kan følgende bedste praksis reducere sandsynligheden for og konsekvenserne af et APT-angreb betydeligt:

Regelmæssige softwareopdateringer og patchhåndtering: Hold systemer, programmer og firmware opdateret for at lukke kendte sårbarheder. Mange APT-angreb lykkes ved at udnytte svagheder, der ikke er opdateret.
Træning af medarbejdere til at bekæmpe phishing: Lær medarbejderne at spotte mistænkelige mails og meddelelser, især spear-phishing-forsøg, der retter sig mod enkeltpersoner med skræddersyede lokkemidler.
Netværkssegmentering og adgang med mindst mulige rettigheder: Begræns spredningen af et angreb ved at segmentere netværk og kun give brugerne den adgang, de har brug for til at udføre deres arbejde. Dette gør tværgående bevægelse sværere for hackere.
Overvågning af svar på hændelse og planlægning: Implementer løbende overvågning for at opdage mistænkelig aktivitet og vedligehold en velforberedt plan for svar på hændelse. Dette sikrer, at dit team ved, hvordan de skal reagere hurtigt, hvis der registreres et angreb.

Forebyggelse af APT'er handler ikke om at eliminere al risiko. Det handler i stedet om at hæve barren for angriberne, gøre deres arbejde sværere og øge chancerne for, at du opdager dem tidligt. Med en lagdelt tilgang kan organisationer oprette en forsvarsstrategi i dybden, der beskytter kritiske aktiver selv mod avancerede trusler.

Nye tendenser for APT'er

APT-grupper udvikler sig hele tiden. Efterhånden som forsvarerne forbedrer deres værktøjer og processer, tilpasser angriberne deres teknikker og leder efter nye måder at omgå sikkerhedskontroller på og bevare adgangen.

Nye APT-teknikker
Moderne APT-agenter blander i stigende grad taktikker og kombinerer tekniske udnyttelser med social engineering og angreb i forsyningskæden for at nå deres mål. Nogle af de nye tendenser omfatter:

Mere sofistikerede phishing-kampagner, der bruger detaljerede personlige eller organisatoriske data til at skabe overbevisende lokkemidler.
Living-off-the-land-teknikker, hvor hackere bruger legitime værktøjer og processer, der allerede findes i miljøet, for at undgå registrering.
Større afhængighed af kompromitteringer i forsyningskæden, hvor tredjepartsleverandører eller softwareopdateringer bliver indgangsvejen til første adgang.

Disse vagter gør det sværere udelukkende at stole på traditionelle forsvar, f.eks. antivirus eller perimeterbaseret sikkerhed.

Registrering og forebyggelse via nye teknologier
Nye teknologier spiller en rolle i både angreb og forsvar.

Kvantcomputing er i de tidlige stadier af praktisk anvendelse. Det har potentiale til at forstyrre krypteringsstandarder, hvilket i sidste ende kan påvirke, hvordan APT-aktører griber datatyveri eller systemkompromittering an.
En samlet SecOps-løsning kombinerer en SIEM-løsning(Security Information and Events Management) med en http://approjects.co.za/?big=da-dk/security/business/security-101/edr-vs-xdr XDR-løsning (udvidet registrering og svar) for at styrke teams med forbedret trusselsregistrering og på én platform.
AI og maskinel indlæring forbedrer allerede registrering og forebyggelse af APT'er. Brug af AI til cybersikkerhed hjælper dig med at opdage mønstre, finde afvigelser og reagere hurtigere på trusler – men det giver også angribere nye muligheder, for eksempel ved at automatisere dele af deres kampagner eller generere mere overbevisende phishing-indhold.

Efterhånden som teknologien på begge sider fortsætter med at udvikle sig, er mennesket stadig centralt i forsvaret mod angreb. Sikkerhedsteams skal holde sig opdaterede og være omstillingsparate for at følge med de skiftende trusler.

APT'er, der retter sig mod Tingenes internet og cloudmiljøer
Angrebsoverfladen for APTs udvides. Efterhånden som flere organisationer tager IoT-enheder og cloudbaserede tjenester i brug, udvider angriberne deres mål.

IoT-enheder: Da de ofte mangler stærke sikkerhedskontroller, kan de fungere som nemme indgangspunkter til større netværk.
Cloud-miljøer: I takt med at arbejdsbelastninger og data flyttes til cloudmiljøet, udvikler APT-agenter nye teknikker til at kompromittere cloudidentiteter, forkert konfigurerede ressourcer og SaaS-platforme.

At forsvare sig mod de her tendenser betyder, at du skal udvide dit sikkerhedsniveau til ikke kun at omfatte lokale systemer, men hele dit digitale økosystem.

Microsofts sikkerhedsløsninger mod APT'er

Microsoft Defender XDR hjælper organisationer med at registrere, undersøge og reagere på avancerede vedvarende trusler på tværs af hele deres digitale miljø. Ved at samle signaler fra slutpunkter, identiteter, mail, cloudapps og meget mere leverer Microsoft Defender XDR et samlet overblik over trusler, som hjælper sikkerhedsteams med at nedbryde siloer og handle hurtigt.

Hvis du vil styrke dit forsvar mod APT'er og tage det næste skridt på din sikkerhedsrejse, kan du udforske Microsoft Defender XDR og Microsoft Security samlet SecOps-løsning.

Ressourcer

Få mere at vide om Microsoft Security

En mand viser en bærbar computer til to andre kvinder

Produkt

Beskyt hele virksomheden med Microsoft Defender XDR

Beskyt dine slutpunkter, identiteter, cloudapps og data mod cyberangreb.

Få mere at vide

Løsning

Samlede sikkerhedshandlinger

Vær på forkant med cybertrusler med en komplet platform til sikkerhedshandlinger.

Få mere at vide

En kvinde, der smiler kigger på en mobiltelefon

Portalen til trusselsbeskyttelse

Nyheder om cybersikkerhed og kunstig intelligens

Opdag de seneste tendenser og bedste praksisser inden for beskyttelse mod cybertrusler og kunstig intelligens for cybersikkerhed.

Hent de seneste ressourcer

En person kigger på den bærbare computer

Intelligence-rapport

Rapport over digitalt forsvar i 2024

Få den nyeste indsigt i trusselsintelligenslandskabet og vejledning fra eksperter hos Microsoft.

Hent rapporten

En avanceret længerevarende trusseler et langvarigt, målrettet cyberangreb udført af velfinansierede angribere, ofte med forbindelse til lande eller organiserede grupper. APT'er fokuserer på at infiltrere specifikke organisationer og opretholde vedvarende, uautoriseret adgang til følsomme systemer eller data, ofte med henblik på spionage, tyveri eller forstyrrelse. I modsætning til opportunistiske angreb bruger APT'er avancerede værktøjer og taktikker, herunder specialudviklet malware, social engineering og zero-day-sårbarheder, for at undgå at blive opdaget og nå deres mål.
Et kendt eksempel på en avanceret vedvarende trussel opstod i februar 2024, da en stor sundhedsorganisation fik brudt sin it-tjeneste. Det cyberangreb forstyrrede patientbehandlingen og førte til tyveri af beskyttede sundhedsoplysninger. Hackerne brugte ransomware til at kryptere filer og udtrække data, og det påvirkede anslået 190 millioner personer.
En avanceret længerevarende trussel er en type cyberangreb, mens avanceret trusselsbeskyttelse (ATP) henviser til de værktøjer og strategier, der bruges til at opdage og forsvare sig mod sådanne trusler. APT beskriver angriberens metoder med fokus på langsigtede, målrettede operationer. Til gengæld omfatter ATP sikkerhedsløsninger som Microsoft Defender, der hjælper organisationer med at identificere, undersøge og reagere på de her angreb. Selvom forkortelserne lyder ens, repræsenterer de modsatte sider af landskabet for cybersikkerhed.
Det primære mål med et angreb med en avanceret vedvarende trussel er at få og opretholde langsigtet, uautoriseret adgang til et målsystems systemer eller data uden at blive opdaget. Angribere forsøger ofte at stjæle følsomme oplysninger, udføre spionage, forstyrre driften eller sabotere kritisk infrastruktur. I modsætning til hurtige, opportunistiske angreb er APT'er meget målrettede og nøje planlagte med fokus på vedholdenhed og strategisk effekt over tid.