APT چیست؟: مروری بر تهدید مداوم پیشرفته
یک تهدید دائمی پیشرفته یا APT مهاجمی است که برای مدت طولانی در محیط شما کمین می کند، بدافزار و سایر نرم افزارهای مخرب را در محیط شما رها می کند و داده های ارزشمند را استخراج می کند.
این یکی از تهدیدات ترسناک تر است. سازمان ممکن است با آن روبرو شود زیرا آنها برای فرار از شناسایی طراحی شده اند و اگر آنها کشف شوند، ممکن است ماه ها یا حتی سال ها از اولین ورود APT به محیط یک شرکت بگذرد. یک APT، چه کسی احتمالاً از این نوع تهدید رنج می برد، و از چه نوع ابزارهای کاهش دهنده و دفاعی می توانید برای جلوگیری از به خطر انداختن APT سازمان خود استفاده کنید. ” width=”1653″ height=”933″ />
به طور سنتی، شرکتها و دولتها بیشتر مورد هدف APTها قرار میگیرند، زیرا ماهیت حمله به منابع، تلاشهای هدفمند و روشهای بسیار پیچیده نیاز دارد. یا برای مدت طولانی و به دنبال سرقت دادهها، تهدیدی نبود که شرکتهای کوچکتر اغلب با آن مواجه میشوند یا نیازی به نگرانی در مورد آن داشتند. شرکا و پیمانکاران سرقت دارایی فکری هنوز بسیار ارزشمند است و شرکتهای بیشتری در معرض حمله APT قرار میگیرند.
تحقیقات کسپرسکی که در اواخر سال 2020 منتشر شد نشان داد که یک گروه بزرگ APT، Deathstalker، بر سازمانهای مالی کوچک و متوسط تمرکز کرده است، که یک تفاوت فاحش است. از نهادهایی که بیشتر مورد هدف قرار می گیرند. اما گروههای APT نیز در حال افزایش هستند و گروههای هکری با بودجه خوب اکنون از این حمله استفاده میکنند. به تهدید در اینجا یک تفکیک وجود دارد.
-
مصالحه و دسترسی اولیه
این مرحله اولیه است که پس از انجام تکالیف APT و آگاهی از نحوه ورود به سازمان مورد نظر انجام می شود. خواه از طریق spearphishing، مهندسی اجتماعی، حمله مستقیم به یک شبکه یا سوء استفاده از آسیبپذیری نرمافزار یا دستگاه، APT در نهایت راه خود را باز میکند. و ابزارهای دیگری که به آن کمک می کند تا در سازمان شما پنهان بماند، در صورت گرفتار شدن یک درب پشتی ایجاد کنید، و یک اتصال C&C (فرمان و کنترل) برای دسترسی از راه دور ایجاد کنید. بدافزار ضروری، مهاجم میتواند آزادانه شروع به حرکت کند، از تونلهای جدید ایجاد شده، امتیازات افزایش یافته و تکنیکهای اضافی مانند شکستن رمز عبور brute force که دسترسی به سایر بخشهای شبکه شما را فراهم میکند در حالی که شناسایی نشده باقی میماند.
-
گرفتن دادههای حساس یا ارزشمند
از آنجایی که این نوع حمله بسیار پیچیده و هدفمند است، مهاجم احتمالاً دقیقاً می داند که به دنبال چه چیزی است. هنگامی که آنها قادر به دسترسی به پوشهها، داراییها و بخشهایی از شبکه شما هستند، میتوانند این دادهها را ضبط کنند.
این کار اغلب از طریق بدافزار و ابزارهای دیگر انجام میشود که بهطور بیصدا اطلاعات را در چندین منبع ذخیره میکنند، آنها را فشرده میکنند، و آن را رمزگذاری کنید تا از دید مدیران پنهان شود. در صورت موفقیت آمیز بودن، مهاجم شروع به ارسال داده های در معرض خطر به سرور C&C یا مکان در دسترس دیگری مانند سروری که قبلاً در معرض خطر قرار گرفته است، می کند. سازمان برای منحرف کردن تمرکز تیم امنیتی و گره زدن منابع.
این می تواند به شکل یک حمله DDoS یا اشکال دیگری از حملات باشد که به راحتی قابل شناسایی هستند، بنابراین سازمان مجبور به واکنش می شود.
متاسفانه، اینطور نیست. پایان APT را املا کنید. بسته به اینکه تا چه اندازه موفق بودهاند یا میتوانند از دادههای اضافی استفاده کنند، APT ممکن است همچنان در محیط شما کمین کند و دادهها را سیفون کند. بنابراین هر زمان که نیاز داشته باشند راهی برای ورود دارند. این امر خطر شناسایی غیرضروری را کاهش میدهد و در عین حال اطمینان میدهد که آنها میتوانند هر زمان که فرصت جذابی وجود داشته باشد، به سرقت دادهها بازگردند. از تعدادی ابزار و روشهای مختلف برای به خطر انداختن شبکه، فرار از شناسایی و استخراج دادههای ارزشمند بهره میبرد. روشها عبارتند از:
مصالحه کارکنان: یک APT به دسترسی عمیق در سازمان نیاز دارد. یک بردار آسان می تواند کارمندی باشد که ناخواسته روی ایمیل کلیک کرده یا یک پیوست را دانلود می کند. حملات فیشینگ، spearphishing و مهندسی اجتماعی کارکنان را هدف قرار میدهند.
بهرهبرداری از آسیبپذیری: در طول مرحله تحقیق، APT ممکن است فهرستی از نرمافزار، دستگاهها، شرکا و فروشندگانی که شما استفاده میکنید داشته باشد. آنها حتی ممکن است بدانند که آیا آنها را به روز کرده اید یا خیر. اگر آنها بدانند که شما خود را آسیب پذیر می کنید، ممکن است از یک حمله برای سوء استفاده از آن آسیب پذیری شناخته شده استفاده کنند یا توسعه دهند. شناسایی در حین حرکت جانبی در یک محیط، سوء استفاده از آسیبپذیریها، و دادههای سیفون.
چگونه در برابر حمله APT دفاع کنیم
از آنجایی که APTها از تعدادی از روشها و ابزارهای مختلف حمله استفاده میکنند، ممکن است دفاع در برابر آنها ترسناک به نظر برسد. با این حال، دقیقاً به همین دلیل است که شما باید روی تعدادی از ابزارها و فرآیندهای دفاعی سرمایهگذاری کنید که میزان مستعد بودن شما را در برابر این نوع حملات محدود میکند. برای اینکه بدانید آیا یک عامل مخرب وارد محیط شما شده است یا خیر و آیا آنها به صورت جانبی حرکت می کنند و به فایل ها یا داده های مهم دسترسی دارند یا خیر. زمانی که یک فرد مجاز وارد شبکه شما می شود تا بتوانید در اسرع وقت پاسخ دهید. هرچه سریعتر عمل کنید، APT زمان کمتری برای مخفی شدن دارد.
کارکنان خود را آموزش دیده و آگاه نگه دارید
آموزش آگاهی از امنیت در اینجا بسیار مهم است زیرا معمولاً در مرحله اول نفوذ به خطر می افتند. کمک به کارمندان در شناسایی ایمیلهای فیشینگ، مقابله با حملات مهندسی اجتماعی و به صدا درآوردن زنگ هشدار به سازمان شما کمک میکند تا هوشیار بماند. این می تواند ناشی از عدم به روز رسانی نرم افزار و دستگاه ها و اعمال به روز رسانی های امنیتی لازم باشد. با حفظ نکردن یک برنامه مدیریت وصله، ریسک خود را افزایش میدهید.
مجوزها و امتیازات مدیریت را محدود کنید
مهاجمان APT اغلب به صورت جانبی حرکت میکنند، زیرا باید به حسابی با مجوز، دسترسی یا امتیازات بالا دست یابند. داده های حساس و استقرار بدافزار با اجرای سیاستی با حداقل امتیاز، تعداد حسابهایی را که در صورت به خطر افتادن، میتوانند توسط تهدیدات APT مورد استفاده قرار گیرند، به شدت کاهش میدهید. آنها اغلب به سختی قابل شناسایی هستند و به سازمانی که هدف قرار می گیرد، مشخص می شوند. اما این بدان معنا نیست که نمی توانید در برابر آنها دفاع کنید و ابزارها و راه حل های اساسی امنیت سایبری نقش مهمی ایفا می کنند. نظارت بر شبکه، شناسایی نقطه پایانی و پاسخ را در اولویت قرار دهید، مطمئن شوید که تنها تعداد کمی از حسابها دارای امتیازات بیشتری هستند و کارمندان خود را آموزش دهید.
اینها با هم یک دفاع قوی، جامع و پیشگیرانه در برابر بسیاری از انواع حملات، از جمله APTها ارائه میکنند. چالش در یافتن ابزارها و شرکای مناسب است.
برای اینکه بدانید چگونه پلتفرم امنیت داده های وارونیس قابلیت های نظارت، تجزیه و تحلیل، شناسایی و نظارت جامع را فراهم می کند، همه با یک تیم اختصاصی پشت آن، صفحه راه حل را در اینجا بررسی کنید.[19659051]