Apa itu Ancaman Persisten Lanjutan (APT)?

Gambaran umum APT

Ancaman persisten lanjutan adalah serangan cyberjangka panjang dan terarah yang dirancang untuk menyusup ke organisasi dan tetap tersembunyi selama mungkin. Tidak seperti serangan luas yang mencari target mudah, APT bersifat terencana dan spesifik. Penyerang memilih target mereka dengan cermat, sering kali menargetkan entitas bernilai tinggi seperti lembaga pemerintah, infrastruktur penting, atau perusahaan besar. Mereka bekerja secara metodis untuk mendapatkan akses dan tetap berada di sana.

Tujuan APT adalah memantau aktivitas secara diam-diam, mencuri data sensitif, atau mengganggu operasi tanpa memperingatkan korban. Kampanye ini sering kali berlangsung selama berminggu-minggu, berbulan-bulan, atau bahkan bertahun-tahun. Karena sifatnya yang tersembunyi dan kompleks, APT sulit dideteksi dan bahkan lebih sulit lagi untuk ditangani setelah berhasil menetap.

Poin penting

APT adalah serangan jangka panjang dan terarah yang dapat tetap tersembunyi dalam organisasi selama berbulan-bulan atau bertahun-tahun.
Penyerang menggunakan alat canggih seperti eksploitasi nol hari, perangkat lunak jahat kustom, dan rekayasa sosial untuk menerobos pertahanan.
Kampanye APT mengikuti fase terkoordinasi seperti akses awal, pergerakan lateral, dan gangguan atau pencurian data.
Target umum mencakup sektor pemerintah, keuangan, layanan kesehatan, teknologi, dan infrastruktur penting.
Deteksi dan respons memerlukan strategi terkoordinasi untuk deteksi anomali, inteligensi ancaman, penyelidikan, dan remediasi.
Praktik terbaik seperti patching, pelatihan karyawan, dan segmentasi jaringan membantu mengurangi risiko APT.

Yang perlu diketahui tentang APT

Untuk melindungi organisasi dari serangan terarah jangka panjang, penting untuk memahami APT dan cara kerjanya. Ancaman ini tidak hanya melewati pertahanan. Mereka menyematkan diri di lingkungan Anda dan tetap berada di sana.

Yang membedakan APT dari jenis serangan lain adalah kombinasi fokus, kecanggihan, dan durasinya. Atribut ini menjadikannya salah satu ancaman paling menantang untuk dikelola tim keamanan:

Tingkat Lanjut: Penyerang menggunakan alat dan taktik khusus yang dirancang untuk menghindari kontrol keamanan tradisional, seperti kerentanan nol hari, perangkat lunak jahat khusus, dan operasi multitahap.
Persisten: APT bukan kejadian satu kali. Penyerang bekerja terus-menerus untuk mempertahankan akses, menggunakan berbagai teknik untuk menghindari deteksi dan memulihkan kendali jika terganggu.
Ancaman: Kampanye ini dilakukan oleh musuh yang didukung dana besar dan memiliki keterampilan tinggi. Banyak di antaranya terkait dengan kelompok yang disponsori negara atau jaringan kriminal berskala besar yang beroperasi dengan tujuan jelas dan sasaran jangka panjang.

Dengan memahami karakteristik ini, pemimpin keamanan dan teknologi informasi dapat menilai risiko secara lebih efektif, membangun pertahanan yang tangguh, dan mengurangi waktu yang dihabiskan penyerang dalam lingkungan mereka.

Cara kerja APT

Pelaku APT sangat termotivasi dan sering didukung oleh sumber daya keuangan yang besar. Mereka meluangkan waktu untuk mempelajari infrastruktur target, mengidentifikasi titik lemah, dan mengembangkan strategi khusus untuk mengeksploitasinya. Setelah masuk, mereka berupaya agar tetap tidak terdeteksi sambil bergerak lateral di seluruh sistem, mengumpulkan data, atau bersiap untuk gangguan yang lebih luas. Tingkat penyamaran ini membuat deteksi dan respons awal menjadi sulit.

APT berlangsung dalam fase terkoordinasi yang dirancang untuk memaksimalkan dampak dan menghindari deteksi.

Pengintaian dan perencanaan: Sebelum melancarkan serangan, kelompok APT melakukan riset ekstensif terhadap target. Ini mencakup pengumpulan detail tentang sistem, personel, vendor, dan potensi kerentanan, sering kali menggunakan inteligensi sumber terbuka atau alat pemindaian.
Penyusupan awal: Penyerang masuk ke jaringan melalui metode seperti email pengelabuan, mengeksploitasi kerentanan yang diketahui atau tidak diketahui (nol hari), atau memanfaatkan kredensial yang dicuri. Tujuannya adalah membangun titik masuk pertama tersebut.
Membangun pijakan: Setelah masuk, penyerang menyebarkan perangkat lunak jahat kustom, memasang backdoor, atau membuat akun pengguna baru untuk mengamankan akses berkelanjutan. Ini memastikan mereka dapat kembali meskipun satu titik akses ditutup.
Meningkatkan hak istimewa: Untuk mengakses sistem atau data sensitif, pelaku APT berupaya meningkatkan hak istimewa, sering kali dengan mengeksploitasi miskonfigurasi sistem, mencuri kredensial administrator, atau memanfaatkan kerentanan eskalasi hak istimewa.
Pergerakan lateral: Penyerang menavigasikan jaringan, berpindah dari satu sistem ke sistem lain untuk memetakan lingkungan, mengumpulkan data, dan mengidentifikasi aset berharga. Fase ini sering mencakup melewati pertahanan internal dan alat keamanan.
Penyelundupan data atau gangguan: Setelah memperoleh posisi, kelompok APT dapat mencuri data sensitif secara diam-diam, seperti kekayaan intelektual, catatan keuangan, atau komunikasi rahasia. Mereka juga dapat bersiap untuk aktivitas yang lebih mengganggu, termasuk menyebarkan ransomware atau melancarkan serangan distributed denial-of-service (DDoS).
Mempertahankan penyamaran dan persistensi: Sepanjang proses, penyerang terus menyesuaikan teknik mereka agar tetap tersembunyi. Mereka dapat mengganti server perintah dan kontrol (C2), menggunakan komunikasi terenkripsi, dan memperbarui perangkat lunak jahat untuk menghindari deteksi.

Kelompok APT mengandalkan berbagai vektor serangan untuk menjalankan fase-fase ini, termasuk:

Email spear-phishing yang menargetkan karyawan tertentu.
Perangkat lunak jahat kustom yang dibuat untuk lingkungan tertentu.
Eksploit kit yang mengotomatiskan sebagian proses serangan.
Eksploitasi nol hari yang menargetkan kerentanan yang belum ditambal.
Server perintah dan kontrol untuk manajemen jarak jauh.
Taktik rekayasa sosial untuk memanipulasi orang dalam.
Serangan rantai pasokan yang membahayakan pihak ketiga tepercaya.

Target umum dan contoh nyata

Kelompok ancaman persisten lanjutan adalah salah satu lawan paling tangguh dalam keamanan cyber. Didukung oleh negara atau organisasi dengan pendanaan besar, kelompok ini menjalankan kampanye terarah berkepanjangan yang ditujukan untuk spionase, pencurian data, atau gangguan. Operasi mereka sering berlangsung selama berbulan-bulan atau bertahun-tahun, dengan fokus pada sektor yang penting bagi keamanan nasional dan ekonomi.

Target umum kelompok APT
Pelaku APT biasanya menargetkan organisasi atau institusi besar.

Organisasi pemerintah dan pertahanan: Mencari inteligensi dan keuntungan strategis.
Institusi keuangan: Bertujuan mengakses data keuangan sensitif atau mengganggu stabilitas ekonomi.
Penyedia layanan kesehatan: Menargetkan informasi kesehatan pribadi dan data riset.
Perusahaan teknologi: Mengejar kekayaan intelektual dan teknologi hak milik.
Sektor infrastruktur penting: Termasuk energi, transportasi, dan telekomunikasi, yang gangguannya dapat berdampak luas.

Kelompok APT terkenal
Beberapa kelompok APT telah diidentifikasi dan dilacak oleh profesional keamanan cyber. Beberapa kelompok yang paling terkenal antara lain:

APT28 (Fancy Bear)—Diyakini terkait dengan intelijen militer Rusia, kelompok ini telah menargetkan organisasi pemerintah dan militer, menggunakan spear-phishing dan perangkat lunak jahat untuk menyusup ke jaringan.
APT29 (Cozy Bear)—Terkait dengan layanan intelijen Rusia, APT29 berfokus pada entitas diplomatik dan pemerintah, menggunakan perangkat lunak jahat canggih dan teknik tersembunyi untuk melakukan penyelundupan data.
Lazarus Group—Dikaitkan dengan Korea Utara, Lazarus telah melakukan operasi mulai dari pencurian finansial hingga serangan yang mengganggu sektor media dan hiburan.

Studi kasus APT
Kelompok ancaman persisten lanjutan telah melancarkan berbagai ancaman cyber canggih di berbagai sektor. Contoh profil tinggi di bawah ini menggambarkan metode dan dampaknya.

Serangan cyber pada perusahaan asuransi terkemuka Amerika Serikat: Pada Maret 2021, perusahaan asuransi terkemuka yang berbasis di Amerika Serikat mengalami serangan ransomware yang mengganggu beberapa layanan. Penyerang menggunakan ransomware untuk mengenkripsi file dan melakukan eksfiltrasi data, yang memengaruhi lebih dari 75.000 individu. Pelanggaran tersebut memerlukan penyelidikan yang mahal dan memakan waktu berbulan-bulan, respons hukum, serta upaya remediasi untuk mengamankan sistem yang terdampak dan memberi tahu pelanggan yang terpengaruh.
Bahaya terhadap infrastruktur energi negara: Pada 2023, serangan terkoordinasi menargetkan 22 perusahaan di sektor energi Dansk, mengeksploitasi kelemahan firewall. Penyerang mendapatkan akses tidak sah ke sistem kontrol industri beberapa perusahaan, menyebabkan gangguan operasional yang signifikan.
Pelanggaran layanan teknologi informasi organisasi layanan kesehatan utama: Pada Februari 2024, serangan cyber signifikan menargetkan unit layanan teknologi informasi layanan kesehatan, mengganggu perawatan pasien dan menyebabkan pencurian informasi kesehatan yang dilindungi. Penyerang menggunakan ransomware untuk mengenkripsi file dan melakukan eksfiltrasi data, diperkirakan memengaruhi sekitar 190 juta orang.

Kasus-kasus ini menunjukkan sifat ancaman APT yang persisten dan terus berkembang, menekankan perlunya langkah keamanan cyber APT yang kuat di semua sektor.

Mendeteksi dan merespons APT

Serangan keamanan cyber APT dirancang agar menyatu dengan aktivitas jaringan normal, sehingga sulit dideteksi dengan alat keamanan standar. Namun, ada tanda peringatan—jika Anda tahu di mana mencarinya.

Indikator penyusupan (IOC)
IOC adalah jejak yang ditinggalkan oleh aktivitas berbahaya. Untuk serangan APT, ini dapat mencakup:

Pola masuk yang tidak biasa, seperti akses dari lokasi yang tidak terduga atau pada jam yang tidak biasa.
Lalu lintas jaringan yang tidak terduga antara sistem internal dan server eksternal.
Adanya file, skrip, atau akun pengguna yang tak dikenal atau mencurigakan.
Penggunaan alat yang biasanya dikaitkan dengan penyerang, seperti credential dumper atau kerangka kerja pergerakan lateral.
Tanda-tanda penyelundupan data, termasuk transfer keluar yang besar atau tidak dapat dijelaskan.

Mengenali sinyal ini sejak awal dapat mempersingkat waktu penyerang di lingkungan Anda,sehingga mengurangi potensi kerusakan.

Strategi untuk mendeteksi aktivitas APT
Mendeteksi APT memerlukan kombinasi teknologi, proses, dan orang. Strategi efektif mencakup:

Deteksi anomali—Memantau aktivitas yang berada di luar acuan dasar yang ditetapkan, seperti lonjakan akses data atau tindakan administratif yang tidak biasa.
Inteligensi ancaman—Menggunakan umpan inteligensi ancaman terbaru untuk tetap mengetahui informasi tentang teknik serangan, alat, dan profil pelaku ancaman terbaru.
Pemantauan titik akhir dan jaringan—Menyebarkan alat yang memberikan visibilitas di seluruh titik akhir, layanan cloud, dan lalu lintas, membantu mendeteksi tanda-tanda penyusupan secara real time.
Perburuan ancaman cyber proaktif—Secara aktif mencari ancaman tersembunyi di lingkungan Anda, bahkan saat tidak ada peringatan yang dipicu.

Bersama-sama, pendekatan ini memperkuat kemampuan Anda untuk menemukan aktivitas APT lebih awal, sebelum menimbulkan kerusakan berkepanjangan.

Merespons serangan APT
Jika serangan keamanan cyber APT terdeteksi, penting untuk bertindak cepat dan mengikuti langkah-langkah yang tepat untuk mengambil kembali kendali, menutup celah keamanan, dan belajar dari kejadian tersebut demi membangun postur keamanan yang lebih tangguh.

Penahanan: Isolasi sistem atau akun yang terpengaruh untuk mencegah penyebaran lebih lanjut.
Penyelidikan: Analisis log, lalu lintas, dan perilaku sistem untuk memahami pergerakan, tujuan, dan metode penyerang.
Remediasi: Hapus alat berbahaya, tambal kerentanan yang dieksploitasi, dan pulihkan sistem yang terpengaruh.
Pemulihan dan peninjauan: Lanjutkan operasi normal sambil melakukan tinjauan pascainsiden menyeluruh untuk memperkuat pertahanan dan mencegah pengulangan.

Mencegah APT

Mencegah ancaman persisten lanjutan memerlukan lebih dari satu alat atau produk. Ini memerlukan pendekatan keamanan berlapis. Karena kelompok APT menggunakan berbagai taktik untuk menyusup dan bertahan dalam jaringan, bertahan terhadap taktik tersebut berarti menutup celah terhadap semua orang, proses, dan teknologi:

Melatih staf untuk mengenali vektor serangan umum dan merespons dengan tepat.
Menetapkan kebijakan dan prosedur yang membatasi paparan dan meningkatkan ketahanan.
Menggunakan alat keamanan terbaru yang memberikan visibilitas, deteksi, dan proteksi di seluruh lingkungan digital Anda.

Solusi seperti layanan deteksi dan respons terkelola (MDR) menawarkan kombinasi teknologi dan keahlian manusia.

Praktik terbaik untuk pencegahan APT
Meskipun tidak ada pertahanan yang sempurna, praktik terbaik berikut dapat mengurangi kemungkinan dan dampak serangan APT secara signifikan:

Pembaruan perangkat lunak reguler dan manajemen patch: Jaga agar sistem, aplikasi, dan firmware tetap yang terbaru untuk menutup kerentanan yang diketahui. Banyak serangan APT berhasil dengan memanfaatkan kelemahan yang belum ditambal.
Pelatihan karyawan untuk memerangi pengelabuan: Ajari karyawan cara mengenali email dan pesan mencurigakan, khususnya upaya spear-phishing yang menargetkan individu dengan umpan kustom.
Segmentasi jaringan dan akses hak istimewa minimum: Batasi penyebaran serangan dengan menyegmentasikan jaringan dan memberi pengguna hanya akses yang mereka perlukan untuk melakukan pekerjaan mereka. Ini mempersulit pergerakan lateral bagi penyerang.
Pemantauan dan perencanaan respons insiden: Terapkan pemantauan berkelanjutan untuk mendeteksi aktivitas mencurigakan dan pertahankan rencana respons insiden yang dipraktikkan dengan baik. Ini memastikan tim Anda tahu cara bertindak cepat jika serangan terdeteksi.

Mencegah APT bukan berarti menghilangkan semua risiko. Sebaliknya, ini tentang menaikkan standar bagi penyerang, mempersulit pekerjaan mereka, dan meningkatkan peluang Anda untuk mendeteksi mereka lebih awal. Dengan pendekatan berlapis, organisasi dapat membuat strategi defense-in-depth yang melindungi aset penting bahkan terhadap ancaman canggih.

Tren yang sedang berkembang untuk APT

Kelompok APT terus berkembang. Saat pertahanan meningkatkan alat dan proses mereka, penyerang menyesuaikan teknik mereka, mencari cara baru untuk melewati kontrol keamanan dan mempertahankan akses.

Teknik APT yang sedang berkembang
Pelaku APT modern semakin memadukan taktik, menggabungkan eksploitasi teknis dengan rekayasa sosial dan serangan rantai pasokan untuk menjangkau target mereka. Beberapa tren yang muncul mencakup:

Kampanye pengelabuan yang lebih canggih menggunakan data pribadi atau organisasi yang mendetail untuk membuat umpan yang meyakinkan.
Teknik living-off-the-land, di mana penyerang menggunakan alat dan proses sah yang sudah ada di lingkungan untuk menghindari deteksi.
Ketergantungan yang lebih besar terhadap penyusupan rantai pasokan, di mana vendor pihak ketiga atau pembaruan perangkat lunak menjadi vektor untuk akses awal.

Perubahan ini menyulitkan untuk sekadar mengandalkan pertahanan tradisional seperti antivirus atau keamanan berbasis perimeter.

Deteksi dan pencegahan melalui teknologi yang sedang berkembang
Teknologi yang sedang berkembang berperan dalam serangan dan pertahanan.

Komputasi kuantum berada pada tahap awal penerapan praktis. Ini berpotensi mengganggu standar enkripsi, yang akhirnya dapat memengaruhi cara pelaku APT melakukan pencurian data atau penyusupan sistem.
Solusi SecOps terpadu menggabungkansolusi security information and event management (SIEM) dengan solusi deteksi dan respons yang diperluas (XDR) untuk memberdayakan tim dengan deteksi dan respons ancaman tertingkatkan dalam satu platform.
AI dan pembelajaran mesin telah meningkatkan deteksi dan pencegahan APT. Menggunakan AI untuk keamanan cyber membantu Anda mengenali pola, mendeteksi anomali, dan merespons ancaman lebih cepat—tetapi juga memberikan kemampuan baru kepada penyerang, seperti mengotomatiskan sebagian kampanye mereka atau membuat konten pengelabuan yang lebih meyakinkan.

Karena teknologi di kedua sisi terus berkembang, elemen manusia tetap menjadi inti pertahanan terhadap serangan. Tim keamanan harus selalu mengikuti informasi terbaru dan beradaptasi untuk mengimbangi ancaman yang terus berkembang.

APT yang menargetkan Internet of Things (IoT) dan lingkungan cloud
Permukaan serangan untuk APT semakin meluas. Seiring semakin banyak organisasi mengadopsi perangkat IoT dan layanan berbasis cloud, penyerang memperluas target mereka.

Perangkat IoT: Sering kali tidak memiliki kontrol keamanan yang kuat, perangkat ini dapat menjadi titik masuk yang mudah ke jaringan yang lebih besar.
Lingkungan cloud: Seiring beban kerja dan data berpindah ke cloud, pelaku APT mengembangkan teknik baru untuk membahayakan identitas cloud, sumber daya yang salah dikonfigurasi, dan platform SaaS.

Mempertahankan diri terhadap tren ini berarti Anda perlu memperluas postur keamanan agar mencakup tidak hanya sistem lokal, tetapi juga setiap bagian ekosistem digital Anda.

Solusi keamanan Microsoft terhadap APT

Microsoft Defender XDR membantu organisasi mendeteksi, menyelidiki, dan merespons ancaman persisten lanjutan di seluruh lingkungan digital mereka. Dengan menyatukan sinyal dari titik akhir, identitas, email, aplikasi cloud, dan lainnya, Microsoft Defender XDR memberikan tampilan ancaman terpadu, membantu tim keamanan menguraikan silo dan bertindak cepat.

Untuk memperkuat pertahanan Anda terhadap APT dan mengambil langkah berikutnya dalam perjalanan keamanan Anda, jelajahi Microsoft Defender XDR dan solusi SecOps terpadu Microsoft Security.

Referensi

Pelajari selengkapnya tentang Microsoft Security

Seorang laki-laki memperlihatkan laptop kepada dua perempuan lainnya

Produk

Lindungi seluruh perusahaan Anda dengan Microsoft Defender XDR

Lindungi titik akhir, identitas, aplikasi cloud, dan data Anda dari serangan cyber.

Pelajari selengkapnya

Seorang perempuan sedang bekerja menggunakan tab

Solusi

Operasi keamanan terpadu

Ungguli kecepatan ancaman cyber dengan platform operasi keamanan menyeluruh.

Pelajari selengkapnya

Seorang perempuan melihat ponsel sambil tersenyum

Portal Perlindungan terhadap Ancaman

Berita keamanan cyber dan AI

Temukan tren terbaru dan praktik terbaik dalam perlindungan terhadap ancaman cyber dan AI untuk keamanan cyber.

Dapatkan sumber daya terbaru

Laporan Inteligensi

Laporan Pertahanan Digital 2024

Dapatkan wawasan terbaru tentang lanskap kecerdasan ancaman dan panduan dari pakar di Microsoft.

Dapatkan laporan

Ancaman persisten lanjutan (APT) adalah serangan cyber terarah jangka panjang yang dilakukan oleh penyerang dengan pendanaan besar, sering dikaitkan dengan negara atau kelompok terorganisasi. APT berfokus pada penyusupan organisasi tertentu dan mempertahankan akses berkelanjutan dan tidak sah ke sistem atau data sensitif, sering kali untuk spionase, pencurian, atau gangguan. Tidak seperti serangan oportunistis, APT menggunakan alat dan taktik canggih, termasuk perangkat lunak jahat kustom, rekayasa sosial, dan eksploitasi nol hari, untuk menghindari deteksi dan mencapai tujuan mereka.
Salah satu contoh terkenal dari ancaman persisten lanjutan terjadi pada Februari 2024, saat layanan teknologi informasi suatu organisasi layanan kesehatan besar dibobol. Serangan cyber ini mengganggu perawatan pasien dan menyebabkan pencurian informasi kesehatan yang dilindungi. Penyerang menggunakan ransomware untuk mengenkripsi file dan melakukan penyelundupan data, yang memengaruhi sekitar 190 juta orang.
Ancaman persisten lanjutan (APT) adalah tipe serangan cyber, sementara perlindungan terhadap ancaman tingkat lanjut (ATP) mengacu pada alat dan strategi yang digunakan untuk mendeteksi dan bertahan terhadap ancaman tersebut. APT menjelaskan metode penyerang, berfokus pada operasi jangka panjang yang terarah. Sebaliknya, ATP mencakup solusi keamanan seperti Microsoft Defender yang membantu organisasi mengidentifikasi, menyelidiki, dan merespons serangan ini. Meskipun akronimnya terdengar mirip, keduanyat mewakili sisi lanskap keamanan cyber yang berlawanan.
Tujuan utama serangan ancaman persisten lanjutan adalah mendapatkan dan mempertahankan akses jangka panjang yang tidak sah ke sistem atau data target tanpa deteksi. Penyerang sering bertujuan untuk mencuri informasi sensitif, melakukan spionase, mengganggu operasi, atau menyabotase infrastruktur penting. Tidak seperti serangan cepat yang bersifat oportunistis, APT sangat ditargetkan dan direncanakan dengan cermat, berfokus pada persistensi dan dampak strategis seiring waktu.

Apa itu ancaman persisten lanjutan (APT)?