美國聯邦調查局某高官曾經說過: “世界上只有兩種大型企業，一種是知道已經被黑客入侵的企業，另一種則是被入侵卻渾然不知的企業。”

有人感覺，“高官”的言論未免太過極端，但不可爭議的是，近幾年APT攻擊愈演愈烈。數據統計，僅2014年全球就有超過80000家公司遭遇網絡攻擊，其中只有2122家公司被迫公開承認，全球500強公司大面積淪陷，攻擊范圍涉及全球60多個國家和地區，由此可見，該高官的表述并不過分。

[[182596]]

面對狡猾且技藝高超的黑客，由防火墻、入侵檢測、防病毒系統組成“三大件”似乎失去了作用。以APT攻擊為代表的高級新型攻擊，正在毫無顧忌的沖破企業安全防線，他們悄悄潛伏，伺機竊取機密數據丟失或是破壞生產系統。那么，APT攻擊為何難以發現?企業用戶只能束手待斃嗎?

APT 攻擊平均“ 559”天才被發現

亞信安全對大量 APT攻擊案件進行了系統調查，統計結果出乎意料，企業用戶平均經過 559天才會發覺自己正在遭遇攻擊。此外，亞信安全還發現，APT攻擊導致的核心數據泄密會對大型企業造成極為負面的影響，這不僅會造成知識產權的流失，這將在技術、業務、市場、客戶等方面發生連鎖反應。對于上市企業，APT事件一旦被公布，必然會直接影響企業股價，導致企業資產瞬間縮水。

一般來說，傳統的木馬病毒攻擊采用的是 “廣撒網”的方式，他們更加在意這張“網”的范圍有多大，而很少在意哪些具體的魚會被捕上來。與傳統的網絡威脅不同，APT攻擊十分狡猾，徹底顛覆了我們對木馬病毒、黑客攻擊的認識。

針對APT攻擊的特點，亞信安全產品總監、APT治理專家白日表示：“黑客從一開始就選定了明確的攻擊對象和攻擊目標，并為此進行長期的人力和物力的投入。攻擊者追求的是攻擊成功率，而不是攻擊范圍的擴大。一旦確定目標，‘專注’的黑客會采用一些極為個性化、針對強的攻擊手法。這些攻擊手法，以及他們所采用的攻擊代碼，有時只會使用一次，但這種攻擊卻是持續而影響深遠的。”

如何抓住狐貍的尾巴?

黑客發動APT攻擊，往往會精心選擇隱匿行蹤的技巧，通過有組織的行動將攻擊分散開來，以躲避查殺。此外，黑客一旦進入到企業內部網絡，多數會采用深度潛伏的方式。這些特點，讓我們很難發現遭遇APT攻擊，但狡猾的狐貍終究會露出尾巴。

要抓狐貍，就要了解它的習性。APT攻擊共有6個階段，這包括：情報收集、單點突破、命令與控制(C&C 通信)、橫向移動、資產/資料發掘、資料竊取。在一些受雇傭的黑客隊伍中，常常分工明確，不同階段甚至會有不同的黑客負責完成。這雖然增加了企業防御APT攻擊的難度，但如果熟悉每個階段的攻擊特征，就可以做到有的放矢。例如：亞信安全發現，在APT“單點突破”階段，有91%的目標攻擊是利用電子郵件作為切入點。此外，有78%的針對性電子郵件會內含附件引誘用戶點擊。

針對APT的有效治理，白日表示：“發現APT攻擊者在企業內部的藏身之處有一定的難度，但不是說企業就束手無策。企業用戶要實現APT攻擊的有效治理，最佳方案就是根據這6個階段建立一一對應的抑制點。不僅需要在‘單點突破’這個階段利用沙箱技術發現惡意代碼，發現‘橫向移動’階段中的黑客掃描流量也很重要。”

沿用傳統設備的“單兵作戰”勢必無法與黑客團體抗衡。為此，亞信安全推出了以監控為中心，以偵測、分析、響應、阻止為治理過程，以“深度威脅發現平臺”為核心的完整而有效的APT治理整體解決方案。亞信安全深度威脅發現平臺Deep Discovery包括：深度威脅發現設備TDA、深度威脅分析設備DDAN、深度威脅安全網關Deep Edge、深度威脅郵件網關DDEI、服務器深度安全防護系統 Deep Security，以及能夠實現本地和云端威脅情報共享的統一聯動控制管理中心TMCM和高級威脅調查取證服務DI。

APT攻擊“簡化版”—— 勒索軟件

如今，很多政府機構和全球化企業在安全控管上都投入了巨大的人力和物力，但是APT攻擊仍然滲透進這些組織，并且，許多黑客團體將這種進攻方案變得更加“簡單粗暴”。

對于APT攻擊的發展，白日認為：“一種非常簡易的APT攻擊已經開始大規模泛濫，這就是加密勒索軟件。它具備APT攻擊第2個階段的典型特征，即利用社交工程郵件突破企業邊界防護，進而控制企業的終端和服務器，最終獲取并加密核心數據，恐嚇勒索用戶。所以說，表面看起來只是企業員工感染了勒索軟件，但其實還是籠罩在APT攻擊之下。因此，亞信安全的APT治理戰略同樣也適用于勒索軟件攻擊。”