早在2013年之前，APT攻击虽然引起了媒体及安全界的重视，但总体上讲似乎只是非主流个案、甚至只算是新的概念或轮廓。2014年发生了多起由APT攻击导致的大型数据外泄事件，非主流开始转身主流。

随着黑客攻击团队的组织化、攻击技能的泛化，攻击目标的定向化、攻击工具的商品化，从2015年开始，APT攻击这一威胁变得更加猖獗，但是在国内，我们似乎并没有见到多少APT案例，为什么呢？昆明亭长朗然科技有限公司互联网安全观察员董志军说：由于其潜伏性，被正确认定的案例并不多，加之没有哪家组织愿意成为安全界的舆论中心、攻击焦点或反面典型，也没有哪家公司愿意被客户或合作伙伴捏住把柄，所以公开的案例更是少之又少。

不过，行业人士都明白，丑事没有上头条，并不表示就没有丑事。相反，近年来，市场对渗透测试人员的需求达到了前所未有的高度，这也带动了火热的安全人员招聘需求和白帽子黑客技能培训市场，可见在未来的几年，APT攻击仍将继续发酵。尽管很多政府机构和企业在安全上都投入了巨大的人力和物力，但APT攻击仍然会渗透进这些组织，并导致敏感数据泄露、生产系统损毁等重要信息安全事故。

为什么近几年APT案例越来越多呢？

一方面，大型机构几乎都已经建立了基础的网络安全防范架构和信息安全管理体系，要通过直接正面的入侵，容易暴露自己的行踪和源头，并且在目标引起警觉之后强化防范措施，进而让攻击的成本高且收获小，黑客绕道到较弱的防线是自然而然的选择。

另一方面，常规的技术类安全防范措施如防病毒、防火墙和补丁修复措施都已经可以防范大多数黑客入侵行为。单纯利用系统的弱点效率较低，黑客们便想到利用人性的弱点，利用社会工程学伎俩，假冒合法身份，再配之能够规避已有安全防范措施的自动化入侵代码生成器等新型技术手段……

APT攻击的动机何在？

APT攻击虽然复杂度较高，但是仍是黑客攻击的一种，所以动机这个问题其实很容易回答。让我们把眼光放在全球商业竞争和政治经济环境下来看，就会很清楚APT攻击的动机要么窃取价值连城的信息财产，要么长期潜伏进行间谍行为、破坏活动甚至恐怖袭击。

APT攻击有什么特点？

传统上，伪造电子邮件配之钓鱼网站或远程控制代码等等无疑是黑客们取得APT攻击成效的入口。攻击者除了会利用受害者的电子邮件账号来增加他们鱼叉式网络钓鱼攻击邮件的可信度之外，还会经过一定的研究分析，比如分析企业沟通文化和研究员工们的语言风格。网络犯罪份子可以精心制造出仿真性很高的社交工程诱饵，骗取足够多的员工点击网络链接或者打开邮件附件。

除了钓鱼邮件、诈骗电话这种经典的APT攻击入口，随着企业内部协作网络，以及社交媒体应用的普及，黑客们无疑将眼光转身更多的社交沟通管道。想在海量的社交沟通内容中有效侦测出恶意用心并对目标人员发起警示是很难的，另外道高一尺，魔高一丈，黑客们也会不断地探索灵活地规避这些侦测措施的方法。

为什么APT攻击将越来越普遍呢？

经过多年的苦心积累，黑客们要么已经获得了渗透工作的关键胜利，要么也是“万事具备，只欠东风”，只需等待针对目标系统的新的严重漏洞的发现。黑客们熟悉漏洞的发布渠道和流程，在漏洞被厂商或安全机构公布之前都可能已经开始尝试获取内情，更不用说对0day攻击程序争分夺秒的抢先利用。

数十来年，黑客们早已不无恶意的脚本小孩儿，也不再是单打独斗的理想主义剑客，而是有组织的犯罪团体，为大型机构效力的商业间谍，甚至有国家力量资助的地下暗黑集团。APT攻击显然需要团队作战，通常有强大的后盾——要么是政府、要么是商业组织。他们不仅具备强大的IT安全知识，同时也拥有跨行业跨应用的人才资源储备。经典的伊朗铀浓缩“震网”事件和2014年年底曝光的德国钢厂APT攻击事件无疑都显示出攻击团队力量之强大、配合之默契。

通过APT，入侵者不仅可以窃取机密信息和虚拟财产，还可以破坏生产作业流程比如破坏工控系统，这动机背后的利益是巨大的。当前的中国正处于调整结构和产业升级的关键时代，企业不管是在市场竞争和科技创新方面都会成为犯罪份子们的坚定目标。在可见的未来，APT攻击将更加普遍。

如何有效应对APT攻击呢？

如果说黑客与我们的核心系统和数据之间只有下一个0day漏洞的距离，那黑客们似乎早晚都会获胜的。这几年，严重漏洞如Heartbleed和ShellShock不断爆出，未来新的严重漏洞仍然会出现在人们的意料之外——特别是那些久经考验的被误认为不会再有什么安全问题的系统。

应对APT攻击考验的是一家企业机构的全面综合防范能力，特别是利用人性弱点的社会工程学攻击手段大行其道时，在林林总总的互联网应用呈现爆炸式增长、企业员工随时随地可以出入各类社交平台和移动应用、企业信息处于杂碎分散的共享状态下，想要在信息安全方面做到滴水不漏，让网络犯罪集团一无所获也实在是太理想主义了。不过，通过足够多的努力，总能截断绝大部分的信息外泄源头以及链条，比如通过政策制度、技术限制、人员教育等安全措施来提升综合应对APT攻击的防范能力。

APT虽然复杂多变，但是其组成要部件的技术入侵手段无疑都是常规性的，如网络踩点、扫描探测、溢出尝试、暴力猜解等等技术手段都会多少留下痕迹或造成异常。对关键网络和系统进行实时监控和日志分析，对可疑的入侵行为进行必要而快速的应急响应措施，可以在切断APT入侵链条的同时，强化戒备。尽管可能会存在很多误报和漏报的情况，自动化、智能化、可视化的威胁管理系统必不可少，除了建立威胁管理系统之外，仍然有大量日常运维工作可以进行，比如：不断优化侦测源头和效率、提高精准判断率、更新策略及特征设置、提升智能分析与关联分析能力、强化与其它安全流程如漏洞扫描、安全加固与应急响应等的有效互动。

在未来，由中国公司参与的全球商业竞争会越发激烈，APT攻击无疑将成为所有大型跨国公司所面对的重要威胁，考验综合防范能力的时候到了。

昆明亭长朗然科技有限公司在ATP攻击防范方面扮演着什么样的角色呢？我们关注的更多的是针对人性弱点的社工攻击，这其实是任何安全技术手段都很难有效防范的。通过加强对员工的信息安全意识进行教育训练，我们可以在一个很大的层面强化终端人员的安全意识和终端安全，继而给APT入侵以强力的回击，让入侵团体很难利用海量的员工进行入侵渗透。

APT攻击将更普遍，您准备好应对之策了么？在各类系统安全漏洞的主动发现和及时修补方面，您做到足够了么？在终端用户，也就是众多员工层面的，您做足人员的信息安全意识教育了么？欢迎联系我们洽谈业务合作。