APT攻擊趨勢(shì)分析和防御建議

曹順超 王翔宇 唐剛

關(guān)鍵詞：APT;高級(jí)持續(xù)性威脅；Oday；供應(yīng)鏈攻擊；監(jiān)測(cè)和防御

1APT攻擊概述

1.1APT攻擊特點(diǎn)

APT一詞最早是在2006年由美國空軍分析師針對(duì)未知入侵活動(dòng)提出。近年來，隨著全球通信及互聯(lián)網(wǎng)技術(shù)的快速發(fā)展，社會(huì)生產(chǎn)、生活方式發(fā)生巨大變化，竊取機(jī)密情報(bào)、破壞基礎(chǔ)設(shè)施的各類APT攻擊事件頻發(fā)，對(duì)全球經(jīng)濟(jì)和國家安全造成嚴(yán)重影響，APT攻擊已經(jīng)成為網(wǎng)絡(luò)空間最嚴(yán)重的安全威脅之一。

美國國家標(biāo)準(zhǔn)與技術(shù)研究院（National Institute ofStandards and Technology，NIST）對(duì)APT的定義為攻擊者掌握復(fù)雜的專業(yè)知識(shí)和重要資源，通過多種攻擊途徑（如網(wǎng)絡(luò)、物理設(shè)施和欺騙等），在目標(biāo)組織的信息技術(shù)基礎(chǔ)設(shè)施上建立和擴(kuò)展立足點(diǎn)，以竊取機(jī)密信息，破壞或阻礙任務(wù)、程序或組織的關(guān)鍵系統(tǒng)，或者駐留在組織的內(nèi)部網(wǎng)絡(luò)，進(jìn)行后續(xù)攻擊。

APT攻擊具有攻擊者組織嚴(yán)密、針對(duì)性強(qiáng)、技術(shù)高超、隱蔽性強(qiáng)、持續(xù)時(shí)間長等特點(diǎn)。

（1）組織嚴(yán)密：APT攻擊一般具有軍事、政治或經(jīng)濟(jì)上的目的，攻擊者團(tuán)隊(duì)作戰(zhàn)，分工明確，具有嚴(yán)密的組織。

（2）針對(duì)性強(qiáng)：APT攻擊的目標(biāo)明確，攻擊者一般只針對(duì)特定的目標(biāo)機(jī)構(gòu)、目標(biāo)網(wǎng)絡(luò)和目標(biāo)信息資產(chǎn)開展攻擊。

（3）技術(shù)高超：APT組織在人才、資金方面擁有豐富的資源，在漏洞挖掘、惡意代碼編寫、滲透測(cè)試等方面擁有高超的技術(shù)能力。

（4）隱蔽性強(qiáng)：APT攻擊者具有極高的隱蔽能力，在整個(gè)攻擊過程中會(huì)想方設(shè)法繞過目標(biāo)單位安全設(shè)備的檢查，在系統(tǒng)中并無明顯異常。

（5）持續(xù)時(shí)間長：APT攻擊持續(xù)時(shí)間較長，在數(shù)據(jù)外泄階段會(huì)在目標(biāo)網(wǎng)絡(luò)中進(jìn)行長期潛伏，時(shí)間可達(dá)數(shù)月甚至數(shù)年。

1.2APT生命周期

參考網(wǎng)絡(luò)攻擊殺傷鏈（Cyber-Kill-Chain）模型和ATT&CK（Adversarial Tactics， Techniques and CommonKnowledge）模型，APT的生命周期可分為情報(bào)偵察、前期滲透、入侵實(shí)施、數(shù)據(jù)竊取、隱蔽通道5個(gè)階段，每個(gè)階段環(huán)環(huán)相扣，具體如圖1所示。

第1階段，情報(bào)偵察。本階段攻擊者通過主機(jī)掃描、端口掃描、漏洞掃描、釣魚等手段收集攻擊目標(biāo)的開放端口、潛在漏洞等情報(bào)信息，并利用這些情報(bào)信息制定入侵方案，如開發(fā)攻擊工具，繞過安全措施，確定攻擊時(shí)間等。

第2階段，前期滲透。本階段攻擊者利用Oday攻擊、SQL注入攻擊、設(shè)計(jì)缺陷攻擊、VoIP攻擊、魚叉式釣魚攻擊等方式，實(shí)施滲透并獲得對(duì)端點(diǎn)設(shè)備的有限訪問權(quán)限。被攻擊的端點(diǎn)設(shè)備可以進(jìn)一步提升特權(quán)，也可用作通信雷達(dá)和信息收集設(shè)備。

第3階段，入侵實(shí)施。本階段攻擊者將對(duì)上一階段控制的端點(diǎn)設(shè)備實(shí)施進(jìn)一步滲透攻擊，以實(shí)現(xiàn)權(quán)限提升及橫向滲透。通過擴(kuò)展訪問權(quán)限尋找有價(jià)值的數(shù)據(jù)，利用系統(tǒng)的內(nèi)部漏洞增強(qiáng)隱蔽性[1]。

第4階段，數(shù)據(jù)竊取。本階段攻擊者將檢索攻擊目標(biāo)電子郵件和備份服務(wù)器數(shù)據(jù)，破壞數(shù)據(jù)庫，竊聽或操縱VoIP對(duì)話。通過部署遠(yuǎn)程訪問工具、密鑰記錄器或腳本工具等進(jìn)行數(shù)據(jù)過濾，并采取各種反簽名、反溯源手段避免觸發(fā)警報(bào)。

第5階段，隱蔽通道。攻擊者通過建立無數(shù)的后門來創(chuàng)建隱蔽通道，使用反追蹤技術(shù)廢除或損壞證據(jù)。攻擊者成功控制目標(biāo)網(wǎng)絡(luò)后，竊取機(jī)密情報(bào)，為后續(xù)進(jìn)行欺詐交易、商務(wù)勒索提供籌碼[2]。

2APT攻擊事件和趨勢(shì)分析

近年來，各類APT攻擊頻繁爆出，對(duì)社會(huì)的經(jīng)濟(jì)和穩(wěn)定造成嚴(yán)重影響。著名的APT攻擊有Google極光攻擊、超級(jí)工廠病毒攻擊（震網(wǎng)攻擊）、SolarWinds供應(yīng)鏈攻擊、夜龍攻擊、Nitro攻擊、暗鼠攻擊、RSASecurID竊取攻擊、Lurid攻擊等。其中，SolarWinds供應(yīng)鏈攻擊因其影響范圍廣、復(fù)雜程度高等特點(diǎn)，受到社會(huì)各界的高度關(guān)注[3]。

2020年12月，SolarWinds供應(yīng)鏈攻擊事件爆光，其大致攻擊流程如下，首先APT組織通過前期滲透成功獲取SolarWinds公司的網(wǎng)絡(luò)訪問權(quán)限，然后在其網(wǎng)管軟件Orion的更新包中植入Sunburst后門，用戶下載安裝包含后門的Orion軟件更新包后，將被植入木馬，用于實(shí)施信息竊取或橫向滲透。SolarWinds作為全球IT管理軟件供應(yīng)商，客戶遍布全球多個(gè)國家和地區(qū)，本次事件約18 000個(gè)客戶遭受攻擊，被稱為“史上最嚴(yán)重”的供應(yīng)鏈攻擊[4]。

隨著世界經(jīng)濟(jì)和技術(shù)的發(fā)展，全球APT攻擊的特點(diǎn)也不斷發(fā)生變化。奇安信威脅情報(bào)中心發(fā)布的《全球高級(jí)持續(xù)性威脅（APT） 2021年度報(bào)告》指出，受新冠疫情影響，2021年度全球APT攻擊活動(dòng)呈以下特點(diǎn)：（1）針對(duì)源代碼的供應(yīng)鏈攻擊呈上升趨勢(shì)；（2）航空產(chǎn)業(yè)成為境外情報(bào)機(jī)構(gòu)的重點(diǎn)攻擊目標(biāo)；（3）新型APT組織提供破壞服務(wù)，以斂財(cái)為目的（通過定向勒索獲取經(jīng)濟(jì)利益）；（4）在野Oday漏洞深受APT組織青睞；（5） APT組織攻擊武器、手段持續(xù)更新升級(jí)。2021年，受攻擊較多的5個(gè)APT目標(biāo)包括相關(guān)機(jī)構(gòu)、醫(yī)療行業(yè)、科技行業(yè)、國防軍工和制造行業(yè)。2021年，活躍度較高的5個(gè)APT組織包括Lazarus，APT29，Kimsuky、肚腦蟲和海蓮花[5]。

中國作為全球APT攻擊的首要地區(qū)性目標(biāo)，網(wǎng)絡(luò)安全面臨巨大考驗(yàn)。APT組織將中國作為攻擊目標(biāo)，不惜花費(fèi)巨額資金和人力物力成本，不斷升級(jí)攻擊手段，提升攻擊頻率，頻繁使用Oday漏洞對(duì)國內(nèi)科研、教育、能源、軍工、核能等關(guān)鍵行業(yè)實(shí)施了高頻次定向攻擊。經(jīng)奇安信威脅情報(bào)中心分析，2021年，我國攻擊頻率最高、危害最大的APT組織主要來自東亞、南亞和東南亞地區(qū)，其中包括海蓮花、蔓靈花、虎木槿、Winnti、毒云藤等，攻擊活動(dòng)主要針對(duì)我國衛(wèi)生醫(yī)療部門、高新科技企業(yè)等領(lǐng)域，重點(diǎn)攻擊目標(biāo)區(qū)域包括廣東、福建、浙江、江蘇等沿海省份及北京。

3APT攻擊的監(jiān)測(cè)和防御建議

面對(duì)全球APT攻擊持續(xù)活躍的嚴(yán)峻形勢(shì)，本文建議從以下幾個(gè)方面加強(qiáng)網(wǎng)絡(luò)安全管理和建設(shè)工作，防范境外APT組織對(duì)我國發(fā)起定向攻擊，從而提升我國APT監(jiān)測(cè)和防御能力。

一是持續(xù)關(guān)注APT組織動(dòng)態(tài)。組織國內(nèi)重點(diǎn)行業(yè)、安全廠商、高等院校、研究機(jī)構(gòu)等資源力量，持續(xù)跟進(jìn)APT組織動(dòng)態(tài)分析、技術(shù)研究工作，盡量全面掌握APT組織情況、攻擊行為特點(diǎn)、常用技術(shù)手段等，及時(shí)發(fā)現(xiàn)針對(duì)我國的APT攻擊行為并作出響應(yīng)。

二是加強(qiáng)APT攻擊技術(shù)研究。加強(qiáng)對(duì)APT攻擊惡意程序的分析、判定，以及APT攻擊監(jiān)測(cè)，APT協(xié)同處置等相關(guān)技術(shù)研究工作。促進(jìn)產(chǎn)、學(xué)、研、用相結(jié)合，建立APT攻擊基礎(chǔ)理論，突破關(guān)鍵技術(shù)攻關(guān)，研制監(jiān)測(cè)系統(tǒng)架構(gòu)，提升我國對(duì)APT攻擊的監(jiān)測(cè)、防御能力。

三是落實(shí)網(wǎng)絡(luò)安全責(zé)任。全國各行業(yè)，尤其是APT攻擊的重點(diǎn)目標(biāo)行業(yè)，應(yīng)落實(shí)行業(yè)網(wǎng)絡(luò)安全責(zé)任。行業(yè)監(jiān)管部門要按要求開展監(jiān)督管理工作，行業(yè)內(nèi)相關(guān)企業(yè)按要求落實(shí)網(wǎng)絡(luò)安全和數(shù)據(jù)安全各項(xiàng)工作，如部署適配的安全設(shè)備、定期開展資產(chǎn)安全審查、定期組織針對(duì)性應(yīng)急演練等，行業(yè)上下共同樹立針對(duì)APT攻擊的安全防御屏障。

四是防范Oday漏洞攻擊。各企業(yè)應(yīng)建立健全的安全管理體系，針對(duì)Oday攻擊做到事前預(yù)防、事中響應(yīng)、事后總結(jié)。在系統(tǒng)需求分析和設(shè)計(jì)階段，進(jìn)行合理的安全設(shè)計(jì)，規(guī)避風(fēng)險(xiǎn)；在系統(tǒng)開發(fā)階段，提升開發(fā)人員的安全編碼意識(shí)，選用安全的開源組件，避免Oday漏洞的發(fā)生，降低風(fēng)險(xiǎn)；在系統(tǒng)運(yùn)維階段，建立完善的應(yīng)急處置方案，密切監(jiān)測(cè)漏洞信息，發(fā)生Oday攻擊后按流程快速響應(yīng)，最大限度地減少影響。

五是加強(qiáng)安全人才培養(yǎng)。企業(yè)和高校聯(lián)動(dòng)，建立APT研究實(shí)驗(yàn)室，開展高水平教學(xué)、研發(fā)活動(dòng)，聚集和培養(yǎng)優(yōu)秀科技人才，壯大我國網(wǎng)絡(luò)安全人才隊(duì)伍。