Целевая постоянная угроза (APT).

APT описывает и сам актор, и кампанию: квалифицированные противники, проводящие в целевой среде от нескольких недель до нескольких лет, ставя скрытность и устойчивость выше шумных «налётных» атак. APT обычно сочетают целевой фишинг, компрометацию цепочки поставок, кастомное вредоносное ПО, технику living-off-the-land и эксплойты нулевого дня. Цели — как правило, кибершпионаж (интеллектуальная собственность, дипломатическая переписка, оборонные исследования), предварительное закрепление для саботажа критической инфраструктуры или длительное финансовое хищение.

Известные кампании показывают весь спектр. APT29 (Cozy Bear) в 2020 году внедрила бэкдор SUNBURST в троянизированные обновления SolarWinds Orion, добравшись через единственного доверенного поставщика до тысяч организаций. Volt Typhoon, группа, связанная с КНР, использовала технику living-off-the-land — встроенные инструменты вроде wmic, netsh и PowerShell вместо кастомного вредоносного ПО — для сохранения постоянного доступа к сетям связи, энергетики, водоснабжения и транспорта США; CISA, ФБР и АНБ в совместном бюллетене AA24-038A (февраль 2024 года) предупредили, что целью было предварительное закрепление для разрушительных атак в ходе будущего кризиса, а не шпионаж.

Защита требует многоуровневых мер: детекций на базе threat intelligence, EDR/XDR с поведенческой аналитикой, сегментации сети, строгого контроля идентичности, расширенного логирования аутентификации и активности командной строки, а также проактивного threat hunting по TTPs, описанным в MITRE ATT&CK.

flowchart LR
  A[Разведка] --> B[Первичный доступ<br/>целевой фишинг / цепочка поставок / 0-day]
  B --> C[Закрепление и<br/>устойчивость]
  C --> D[Повышение привилегий<br/>+ кража учётных данных]
  D --> E[Боковое перемещение<br/>living off the land]
  E --> F[Длительный скрытный<br/>сбор данных]
  F --> G[Эксфильтрация или<br/>предварительное закрепление]
  F -.уклонение.-> H[EDR / threat hunting<br/>MITRE ATT&CK]
  H -.обнаружить и выдворить.-> C