Vad är ett Advanced Persistent Threat (APT)?

APT:er kategoriseras utifrån olika kriterier, från ursprung och metoder till infiltrationsmetoder eller geografiskt fokus.

Det finns ingen perfekt uppsättning egenskaper som definierar varje Advanced Persistent Threat, men de kategorier av APT som oftast påträffas och diskuteras är följande:

· APT:er från nationalstater: Med enorma budgetar och tillgång till den senaste tekniken, tillsammans med juridisk täckning, utför dessa hotaktörer några av de mest sofistikerade uppdragen. Dessa inkluderar långsiktigt spionage, datastöld, manipulation av den allmänna opinionen m.m. De har väletablerade politiska eller militära mål och riktar in sig på regeringsorganisationer, militära anläggningar, viktig infrastruktur, ekonomiska aktörer och i princip allt och alla som kan hjälpa dem att uppnå sina långsiktiga mål.

· Kriminella APT:er: Vissa grupper som ägnar sig åt APT-aktiviteter fokuserar på att stjäla pengar eller andra värdefulla data som immateriella rättigheter eller komprometterande data för utpressning eller utpressning. Ofta är det slutliga målet för dessa hotaktörer att distribuera ransomware i värdefulla nätverk, begå bankbedrägerier, stjäla och sälja kreditkortsinformation eller till och med utvinna kryptovaluta olagligt med hjälp av offrens infrastruktur.

· Hacktivistiska APT:er: Vissa grupper använder sin cyberkapacitet för att driva politiska agendor, åstadkomma social förändring eller främja ideologier genom riktade attacker som syftar till att tysta kritiker, sprida propaganda eller krossa oppositionen. Deras taktik omfattar DDoS-attacker (Distributed Denial of Service), defacing av webbplatser och läckage av känslig information. Dessa grupper söker publicitet, ofta uttryckt genom manifest eller offentliga budskap.

· Företags-/affärs-APT:er: Dessa APT:er är anställda eller sponsrade av företagsorganisationer och spionerar på konkurrenter, vanligtvis på storföretagsnivå. I och med uppkomsten av APT-as-a-service erbjuder skickliga cyberkriminella grupper nu sina tjänster för industrispionage. Hotaktörer i denna kategori motiveras av att få en konkurrensfördel, ekonomisk vinning eller att få värdefull information för företagsspionage.

1. Infiltration - Få in en fot: I det första skedet utnyttjar angriparen sårbarheter eller använder sociala tekniker för att få obehörig åtkomst. Metoderna sträcker sig från att utnyttja nolldagssårbarheter eller svagheter i nätverket till spjufiske riktat mot nyckelpersoner i organisationen. Målet är att skapa en diskret ingångspunkt och förbereda för angreppet.

2. Expansion - utforska för att etablera uthållighet: Efter en lyckad första infiltration rör sig angriparna lateralt över nätverket för att utöka sin kontroll och fördjupa sin åtkomst. De söker vanligtvis konton med förhöjda behörigheter för att få bättre tillgång till kritiska system och känsliga uppgifter. Angripare kan använda skadlig kod för att skapa ett nätverk av bakdörrar och tunnlar, vilket gör det lättare att röra sig obemärkt i systemet. Angriparnas ansträngningar inriktas på att förskansa sig i en position som är bättre lämpad för att uppnå deras primära mål.

3. Extraktion - Fly : I den här fasen har angriparna ofta redan en förståelse för systemets sårbarheter och arbetssätt. Denna kännedom gör att de kan samla in den information som behövs och kanske lagra den på en säker plats inom nätverket. För att undvika upptäckt under extraktionen använder hotaktörerna distraktioner som DDoS-attacker (Distributed Denial-of-Service).

I vissa fall är det inte det slutliga målet med APT:n att få information. Istället inriktas resurserna på att underminera ett viktigt projekt, uppdrag eller program hos den utvalda organisationen.

Oavsett målet försöker aktörerna konsekvent dölja sina spår för att behålla oupptäckt åtkomst till nätverket för ytterligare attacker.

För att upptäcka ett Advanced Persistent Threat krävs en omfattande säkerhetsstrategi som omfattar hotjakt i processer, arbetsbelastningar och plattformar, noggrann övervakning i hela miljön samt analys av både inkommande och utgående nätverkstrafik. Cybersäkerhetsteamen måste vara skickliga på att känna igen de subtila "signalerna" från APT-aktivitet, t.ex. trafikmönster för ledning och kontroll. Dessa svaga indikatorer måste sammanställas till en konsoliderad hotanalys som snabbt kan nås och åtgärdas av en människa. Utan detta kan teamen ha svårt att genomföra en snabb och effektiv insats.

Vid upptäckt ska reaktionen vara omedelbar och fokuserad. Målet är att identifiera berörda system, ta bort bakdörrar och förhindra laterala förflyttningar. Organisationer måste också investera tid och kraft i noggranna analyser efter incidenten för att stärka försvaret mot framtida attacker. Att analysera både de tekniska aspekterna av intrånget och de operativa rutinerna är grundläggande för att minska organisationens riskprofil.

Det finns bästa praxis som en organisation kan följa för att minska de säkerhetsproblem som ofta utnyttjas av APT:er, t.ex:

· Minska angreppsytan genom regelbundna uppdateringar och patchar av programvara, applikationer och enheter.

· Genomföra omfattande övervakning av nätverkstrafik, applikationer och domäner samt robusta åtgärder för åtkomstkontroll, inklusive tvåfaktorsautentisering, för att säkra viktiga åtkomstpunkter i nätverket.

·Kryptering av alla fjärranslutningar.

·Inspektera inkommande e-post för att minska riskerna i samband med spjutfiske.

· Analysera och logga säkerhetshändelser omedelbart för att underlätta snabb identifiering och hantering av hot.

På den mest grundläggande nivån kan regelbunden utbildning avsevärt minska den risk som orsakas av mänskliga faktorer. Mänskliga misstag är ofta den svagaste länken i cybersäkerhet, och APT:er utnyttjar ofta detta genom social ingenjörskonst. Att ha en formaliserad och övad incidenthanteringsplan på plats möjliggör effektiva och samordnade åtgärder vid ett säkerhetsintrång.

Advanced Persistent Threats (APT) utvecklas ständigt och utgör en verklig utmaning för säkerhetsteamen. Denna utveckling utmanar deras förmåga att spåra, mildra hot och vara motståndskraftiga mot deras påverkan. Säkerhetsteam kan upptäcka och bemöta avancerade hot med hjälp av MITRE ATT&CK Framework, en global kunskapsbas över motståndarens taktik och teknik.

Budgetbegränsningar och en ihållande brist på kvalificerad personal gör att Security Operations Centers (SOC), Managed Security Services Providers (MSSP) och interna säkerhetsteam saknar de resurser som krävs. Den pågående ökningen av sofistikerade cyberattacker har lett till en ökning av antalet säkerhetsteam som integrerar data från standardverktyg för detektering med användbar hotinformation.

När hotinformation kombineras med EDR-system (Endpoint Detection and Response ) blir den en kraftfull allierad. Genom att utöka EDR till att omfatta flöden och skapa XDR (Extended Detection and Response ) kan organisationer få bättre insyn i alla nätverkstillgångar och enheter för att upptäcka potentiella ingångspunkter för APT:er.

Djupgående logganalys av ett team kan inte särskilja skadlig aktivitet från legitim aktivitet i realtid. Ett bra cyberförsvar är därför en intelligent, automatiserad cyberförsvarslösning som utnyttjar information om cyberhot och avancerade försvarsmekanismer för att jaga motståndare.

Många organisationer samarbetar med cybersäkerhetsföretag för avancerade försvarsstrategier, utplacering av sensorer, användning av hotinformation, indikatorer på kompromisser (IOC) och brandväggar för webbapplikationer (WAF). Dessa partnerskap är avgörande för att ge mänskligt läsbara resultat för hotjakt, som syftar till att proaktivt söka efter indikatorer på APT-aktiviteter inom en organisations multi- eller hybridmoln.