Čo je pokročilá trvalá hrozba a ako je možné zistiť APT?

Mnoho spoločností sa snaží zhromažďovať čo najviac údajov o zákazníkoch. Niektorí dokonca bezplatne poskytujú svoje výrobky výmenou za povolenie na zhromažďovanie osobných údajov.

Vďaka tomu majú teraz aj menšie podniky množstvo cenných údajov. A čoraz viac aktérov ohrozenia hľadá spôsoby, ako to ukradnúť. Jedným z príkladov je typ kybernetického útoku známy ako pokročilá pretrvávajúca hrozba.

Aká je teda pokročilá pretrvávajúca hrozba? Ako jedného spozorujete? A čo by ste mali robiť, ak si myslíte, že váš systém zasiahol APT?

Čo je to Advanced Persistent Threat (APT)?

Pokročilá pretrvávajúca hrozba je typom útoku, pri ktorom útočník získa prístup do systému a potom dokáže zostať v ňom nezistený dlhší čas.

Tento typ útoku sa zvyčajne uskutočňuje s cieľom špionáže. Keby bolo cieľom jednoducho poškodiť systém, nebol by dôvod držať sa okolo. Ľudia vykonávajúci tieto útoky sa nepokúšajú zničiť počítačové systémy. Chcú jednoducho prístup k údajom, ktoré majú k dispozícii.

Najpokročilejšie trvalé hrozby využívajú sofistikované hackerské techniky a sú prispôsobené jednotlivým počítačovým systémom.

Preto je veľmi ťažké odhaliť tieto útoky. Jednou z výhod ich zložitosti je však to, že priemerný používateľ počítača sa ich zvyčajne nemusí obávať.

Na rozdiel od škodlivého softvéru, ktorý je zvyčajne navrhnutý tak, aby zacieľoval na čo najväčší počet počítačov, pokročilé trvalé hrozby sa zvyčajne navrhujú s ohľadom na konkrétny cieľ.

Ako sa stane APT?

Pokročilá pretrvávajúca hrozba je pomerne široký pojem. Miera sofistikovanosti použitá pri takomto útoku sa preto veľmi líši.

Väčšinu z nich však možno ľahko rozdeliť do troch samostatných etáp.

Fáza 1: Infiltrácia

V počiatočnej fáze hackeri jednoducho hľadajú cestu dovnútra. Možnosti, ktoré majú k dispozícii, budú zjavne závisieť od toho, aký bezpečný je systém.

Jednou z možností by bol phishing. Možno niekoho prinútia, aby náhodou odhalil svoje prihlasovacie údaje tým, že im pošle škodlivý e-mail. Alebo ak to nie je možné, môžu sa pokúsiť dosiahnuť to isté prostredníctvom sociálneho inžinierstva.

Fáza 2: Expanzia

Ďalším krokom je rozšírenie. Akonáhle majú útočníci platnú cestu do systému, budú chcieť rozšíriť svoj dosah a pravdepodobne sa ubezpečia, že ich existujúci prístup nie je možné odvolať.

Spravidla to urobia pomocou nejakého typu škodlivého softvéru. Keylogger im napríklad umožní zbierať ďalšie heslá pre ďalšie servery.

Súvisiace: Čo je Keylogger?

A trójsky kôň typu backdoor zaručí budúce vniknutie aj v prípade, že sa zmení pôvodné ukradnuté heslo.

Fáza 3: Extrakcia

Počas tretej fázy je čas skutočne ukradnúť údaje. Informácie sa zvyčajne zhromažďujú z viacerých serverov a potom sa ukladajú na jedno miesto, kým nebudú pripravené na načítanie.

V tomto okamihu sa môžu útočníci pokúsiť prekabátiť zabezpečenie systému niečo ako útok DDOS. Na konci tejto fázy dôjde k odcudzeniu údajov a v prípade, že nebudú zistené, zostanú dvere otvorené pre budúce útoky.

Varovné príznaky APT

Aj keď je APT zvyčajne navrhnutý špeciálne na zabránenie detekcii, nie je to vždy možné. Väčšinou budú existovať aspoň nejaké dôkazy o tom, že k takémuto útoku dochádza.

Spear phishing

Spear phishingový e-mail môže byť znamením, že sa APT chystá alebo je v počiatočných fázach. Phishingové e-maily sú navrhnuté tak, aby bez rozdielu kradli údaje od veľkého množstva ľudí. E-maily s phishingom typu Spear sú verzie prispôsobené na mieru konkrétnym ľuďom alebo spoločnostiam.

Podozrivé prihlásenia

Počas prebiehajúceho APT sa útočník pravdepodobne bude pravidelne prihlasovať do vášho systému. Ak sa legitímny používateľ náhle prihlási na svoj účet v nepárnych hodinách, mohlo by to byť znamením ukradnutia jeho prihlasovacích údajov. Medzi ďalšie príznaky patrí prihlásenie s vyššou frekvenciou a prezeranie vecí, ktoré by nemali byť.

Trójske kone

Trójsky kôň je skrytá aplikácia, ktorá po nainštalovaní môže poskytnúť vzdialený prístup do vášho systému. Takéto aplikácie môžu byť ešte väčšou hrozbou ako odcudzené údaje. Je to tak preto, lebo nezanechávajú stopu, to znamená, že nemáte žiadnu históriu prihlásenia, ktorú by ste mohli skontrolovať, a zmeny hesla ich neovplyvnia.

Neobvyklé prenosy údajov

Najväčším znakom výskytu APT je jednoducho to, že dáta sú náhle presunuté, zdanlivo bez zjavného dôvodu. Rovnaká logika platí, ak vidíte, že údaje sa ukladajú tam, kde by nemali byť, alebo čo je horšie, v skutočnosti sa práve prenášajú na externý server mimo vašej kontroly.

Čo robiť, ak máte podozrenie na APT

Po zistení APT je dôležité postupovať rýchlo. Čím viac času má útočník vo vašom systéme, tým väčšie môže byť poškodenie. Je dokonca možné, že vaše údaje ešte neboli odcudzené, ale skôr sa chystajú. Tu je potrebné urobiť.

1. Zastavte útok: Kroky na zastavenie APT závisia vo veľkej miere od jeho povahy. Ak si myslíte, že bol narušený iba segment vášho systému, mali by ste začať izolovaním od všetkého ostatného. Potom pracujte na odstránení prístupu. Môže to znamenať odobratie ukradnutých údajov alebo v prípade trójskeho koňa vyčistenie systému.
2. Posúďte poškodenie: Ďalším krokom je prísť na to, čo sa stalo. Ak nerozumiete tomu, ako k APT došlo, nič nebráni tomu, aby sa to opakovalo. Je tiež možné, že podobná hrozba v súčasnosti existuje. To znamená analyzovať protokoly udalostí systémov alebo jednoducho zistiť cestu, ktorú útočník použil na získanie prístupu.
3. Informujte tretie strany: V závislosti od toho, aké údaje sú uložené vo vašom systéme, môže byť poškodenie spôsobené APT dlhodobé. Ak v súčasnosti ukladáte údaje, ktoré nepatria iba vám, t. J. Osobné údaje zákazníkov, klientov alebo zamestnancov, možno budete musieť dať týmto ľuďom vedieť. Ak tak neurobíte, môže sa to vo väčšine prípadov stať právnym problémom.

Poznajte príznaky APT

Je dôležité si uvedomiť, že úplná ochrana neexistuje. Ľudská chyba môže viesť k ohrozeniu ktoréhokoľvek systému. A tieto útoky, podľa definície, využívajú pokročilé techniky na zneužitie takýchto chýb.

Jedinou skutočnou ochranou pred APT je preto vedieť, že existujú, a pochopiť, ako rozpoznať príznaky jedného z nich.

Čo je adaptívne zabezpečenie a ako pomáha pri prevencii hrozieb?

Model monitorovania zabezpečenia v reálnom čase, adaptívne zabezpečenie, využíva moderné taktiky na zmiernenie neustále sa vyvíjajúcich kybernetických hrozieb.

Prečítajte si Ďalej

O autorovi