APT 攻击的概念是否存在过度炒作？-chenshko-ChinaUnix博客

Steven Chuhchenshko.blog.chinaunix.net

首页　| 　博文目录　| 　关于我

chenshko

博客访问： 1237672
博文数量： 177
博客积分： 1528
博客等级：上尉
技术积分： 1891
用户组：普通用户
注册时间： 2010-12-15 18:03

文章分类

全部博文（177）

网络攻击（10）
网络安全（22）
网络设备（3）
海量数据存储（4）
数据防泄漏DLP（13）
gsoap（2）
iptables（3）
Linux系统命令（6）
c库函数（1）
sk_buff（5）
Linux网络编程（10）
Netfilter（26）
Pcap（2）
window应用（1）
windows开发（3）
网络协议（8）
Linux系统编程（25）
Linux内核编程（11）
基础概念（8）
数据结构（1）
Linux工具（3）
Linux系统（10）
未分配的博文（0）

文章存档

2020年（1）

2018年（19）

2017年（4）

2016年（21）

2015年（40）

2014年（13）

2013年（26）

2012年（16）

2011年（37）

我的朋友

CUKdd

最近访客

推荐博文

APT 攻击的概念是否存在过度炒作？

分类：信息化

2018-07-13 23:17:21

6 人赞同了该回答

每个概念出来你留意会发现都伴随着炒作，这个现象没啥奇怪，有些人初次经历大惊小怪也很正常。
商业需求在最前面，技术在后面填坑，这之间的差距造成了过渡炒作。

原谅为了拿下市场份额的炒作吧。

最终不要泡沫就好。

赞同 62 条评论收藏感谢

22 人赞同了该回答

好像zhihu有个谢邀的陋习，我也尝试陋习一把先！！！

不完全同意

的观点，完全不同意@江南引用的“周老板的观点”。

屌丝公司可能也有高富帅的客户，很多的APT都是走的曲线救国路线，直接搞不定高富帅，那就从高富帅身边的屌丝朋友入手。

APT是客观存在的，存在这样的攻击就有防御产品的市场。目前来看主要郁闷的是很多单位、公司可能被人搞了，还自以为很安全... 人家老外曝个料，就开始大惊小怪！

至于“周老板的观点” 就是纯“奸商”的观点（过份的泡沫和忽悠是不对的！），“让用户觉得安全” 与 “让用户真正安全” 并不矛盾。你可以把“让用户觉得安全” 最为用户体验，而把“让用户真正安全”比喻产品技术能力，个人认为2者兼备、和谐发展才是正途！！

赞同 222 条评论收藏感谢

收录于编辑推荐 · 25 人赞同了该回答

我简单说说自己的看法，但不一定很有帮助（觉得不好的同学可以点反对+举报+没有帮助）。

首先，APT攻击感觉不是一个全新的概念，它让我想到 Slow Scanning Attack。根据James Stanger的描述，“大多数聪明的对攻击网络感兴趣的人在第一次计划攻击网络时，会慢慢且谨慎地工作，网络映射不必在几秒钟或几分钟内实现。在一个月或更长的时间中，一个黑客可能秘密地向多种网络系统的端口发出信息包，将回应存储在数据库中。一段时间后，便能够得到一个完整的网络示意图”。现在，只有一部分入侵检测系统IDS能够比较有效地发现问题，而且也依赖日志审计。日志审计，我担心在大多数公司，不会非常认真的对待。即使这家公司重视到了雇佣有资质的人员的程度，也不太可能发现这些随机又看起来无害的请求。

第二，APT攻击可以理解是各种日常攻击的组合，当然，随意的加在一起不是APT攻击，而是各种攻击能够提供进一步的资源，去实行更深的攻击。如果我们考虑“部分”API攻击，那么每天都在频繁的发生。对于一个黑盒系统，很多有兴趣的安全人员，都可以发现一些不痛不痒的问题，如果他不打算送乌云，而打算以后留着，那也许最后那天玩的时候派的上用场。例如，一个人获得了内部某员工的邮箱帐号，显然，他可以利用这个对其他员工进行clickjacking等web攻击，或者直接传送免杀的软件安装程序木马（例如业务需要的软件）。或者，他的另一个选择就是静待时机，慢慢阅读公司里面的邮件，收集信息。我打赌这不是一件对技术要求多高的事情。关键反而是，API攻击涉及太多的社会工程学，这是攻击的一个重要部分。而社会工程学是许多安全人员尽可能避而不谈的一件事情。

第三，对抗APT攻击，至少要先做好员工培训。应该从他们入职的时候，就有系统的训练，告诉他们什么东西要小心，什么不能随意相信，至少把密码改得复杂一点，遵守哪怕是一点点密码策略。或者说不许他们随意开wifi热点，U盘要用加密的防毒的，手机有个挂锁放在工位上，别轻易被别人弄走，出去外面也不要随意连wifi热点然后进公司的网。大多数的APT攻击，不可能整天研究某种策略，能一下子攻下大多数的终端机器、服务器。多数都是利用短平快的方法去获得资源，比如看有没有没有装好补丁的机器啊，有没有员工的密码已经泄漏了啊。我打赌，APT攻击特别容易留下痕迹，关键是大多数公司不重视。毕竟用APT攻击的人，也不是想黑掉首页挂个名字的，而是想一步步深入首领部，获得商业文件，交代任务的。

第四，APT攻击的一个关键是监管，但国内企业目前不太可能为安全管理腾资源。前面说了手机挂个锁，然后手机至少有个锁屏保护，电脑的屏保要输密码，密码要复杂一些，不允许网络内有奇怪的软件运行（这样才可以设置blocking all except ...这样的防火墙策略），密码要定期更换有密码历史有复杂度要求，重要会议手机不要带进去。这些都是得罪人的。不许一个中层领导上班开一小会QQ游戏大厅，不许一个40多岁的职员用自己的电话号码做密码，不允许领导开会时哪怕上会知乎，这些事情瞬间就让人觉得很不自由。现在很多企业就讲究宽松的气氛，不可能每天假想对手公司早已经打入内部，整天探查墙里面有没有窃听器，激光打印机的硒鼓里面有没有发射器，但是说实话，我都把这些手法说出来了，摆明着都是发生过的事情了。尽管风险在着，做安全的人不可能一意孤行地推行安全策略。如果没有事先和各个部门沟通，照顾他们的业务需要，那么整天活得像个纪律检查委员会的，也不舒服。Vincent LeVEQUE的Information Security - A strategic approach，特别指出了安全策略中的监管部门，要照顾、了解 organization culture with respect to planning, controls, and technology，还有values and priorities of the executives whose support is critical to the plan's success。要有效对抗APT，关键是我国的申论考试万能八条：

1、领导重视、提高认识;

2、加强宣传、营造氛围;

3、教育培训、提高素质;

4、健全法规、完善制度;

5、组织协调、形成机制;

6、增加投入、依靠技术;

7、依法监管、全面落实;

8、总结反思、借鉴经验。

第五，我一贯的风格是强调内部攻击，在APT上更是如此。商业间谍如果真要做出成绩，怎么也得进人家的公司。想象一家金融公司里面进了一个背景调查没有问题的人，而实际上这人有安全功夫，那还得了。内部人员本身就非常了解内部系统的结构，就算是凭一点兴趣，他也很可能自己发现公司运行中的一些小bug。如果只是因为个人兴趣，那么最多也就是泄漏了解雇名单，有的员工在解雇前就没把心思放在工作上。而如果是因为利益，那么他随便转发一两份内部文件，也不要用特别复杂的单线联系的奇怪方法，直接发邮箱就可以了，费劲打个压缩包带加密。我国一大堆国防半公开的资料就是这么走出去的。最严重的是，如果是因为仇恨，怎么办？公司突然说要裁员，或者停薪水，这些影响不太好的政策，随时可能激发一两人的气。这些人本身就是一个APT，要是出了事太难管了。所以，在公司用人上，公司要有比较多的考虑。至少简单的背景调查，然后多拉出去聚会，开party，建生活群，方便了解员工生活，然后职务有一定的变动，比如几个月会换岗位，再不然就是强制休假。这些制度的杀伤力比XSS攻击要厉害多了。

第六，如果涉及到军事活动，我觉得通过网络来攻击是比较不科学的，因为我国的国防单位，可能在具体的安全技术上不比科学界领先，或者坦白说，我国军方就是没有什么特别bug的安全技术。但是我国军方，至少在物理安全和管理上做的很好，设备隔离、电磁屏蔽干扰、保密通讯，至少都试了。前段时间有一些军事管理区限制附近的民宅使用wifi，一来是保障部队某些通讯，二来也就是维护部队的纪律。但是，军方遭到APT攻击也不是不可能，但如果费一样的劲去对付军方的网络，不如国家安全部队去策反好了。人，在太过复杂的信息安全问题中，是关键的因素。

我可能没有非常准确回答问题，我总结一下我的观点：

APT 早就存在了，现在提起这个概念不是坏事，有利于信息安全转向更实际的方向，更加重视终端安全。对于小企业、个人、小网站，APT 还是太尊贵了，感觉 APT 算是主席一挥手，团结大进军这个级别了。

再黑一下360，如果说谁能让许多中国网民放弃弱密码，我看也就是360。如果他能普及中文密码（用中文做密码，我对这样做的价值有保留意见），或者推广密码管理器。如果他真的能把终端安全做遍地，那么周老板，还是值得褒扬的。

赞同 256 条评论收藏感谢收起

3 人赞同了该回答

对于防御APT这个概念的确有过度炒作，相对其他有模式可循的攻击方法，APT就灵活很多，防御比传统有针对性的攻击难太多。APT主要是指对入侵方法进行研究，对目标进行集中全方位的攻击。

要防御APT攻击必须要研究每一个关键因素（人，机，物）并为每个因素设下防御措施。现在APT最普遍的攻击方式就是通过钓鱼，键盘记录，社会工程。（包括有段时间很火的摆渡攻击）

攻击者会花大量的时间研究间接的目标，如主要工作人员，然后制作一个钓鱼信息、页面、软件等来得到其各种密码等信息，从而得到更高层次的内部系统权限。然而目前的解决方案完全不足以应对钓鱼攻击。对此必须要能够确保各人员进入系统的信息不会记录到任何其他不合规则的地址中。

再一个键盘记录是APT攻击必有的攻击方式，通过记录各种操作数据能够收获到大量目标的信息，从而展开下一步攻击。因此对于键盘记录的防御是APT防御相当重要的一环，即使被感染，也必须保证所有数据不会被记录。完全不能依靠传统的病毒软件来防护，要保证数据mask，还应注意内核级别的记录器,屏幕捕获等，都能收集到很多东西。

以上再结合社会工程得到的信息利用，再加上对目标所有行动的密切监视分析所得，相信目前各种保护都不能够有效的防护APT攻击，沦陷只是时间的问题。如同很有名的一句，通过管理员的方式，正常的途径来达到目的，既然是正常途径，那如何防御？

赞同 3添加评论收藏感谢

18 人赞同了该回答

抽空冒泡回答问题：
利益相关：目前正在与高级威胁干架的炮灰

APT这个东西得拆开来看，APT的特点被这三个字母诠释的淋漓尽致：攻击手段复杂（Advanced）、持续时间长（Persistent）、高危害性（Threat）。
要想被APT攻击，首先得具备APT的价值，比如说x国元首、x机密部门核心工程专家、或者x巨头的ceo，像我们这种价值可以忽略不计的人基本上不会被APT，毕竟没价值。
但是话虽这么说，但是本人相信一个观点：在网络安全面前没有人会成为幸存者。你没有价值不代表不会成为被APT的目标，所以普通人还是要关注一下APT的事情。

至于APT的炒作问题，个人认为APT这个概念还真就不是炒出来的。
第一：目前针对APT的报告大多数都是有背景做支撑的，看报告的时候一定要注意背景而非技术细节，比如说昨天又出来溜达的某过气APT组织x莲花，针对的目标并不是一般的公司或者是企业，而是xx局（和谐了），这样一来性质就完全变了，攻击者很可能就是为了长期窃取情报或者是数据，按严重程度上来看的话，这个层面着实影响不低了，这就是为什么看问题一定要结合背景来看。
第二个不是炒作的原因是因为APT的高复杂性也是需要相当高的技术能力才能发现的，APT样本的逆向分析工作简直让你欲哭无泪，由于某些众所周知的原因不能和大家分享逆向APT样本的心酸过程。
第三个原因也是最重要的原因，17年其实算是网络安全攻击套路变化的一年，未来的网络战很可能就是去攻击基础设施，让你领不了结婚证、取不了钱、用不了水电、加不了油甚至是失业。这时候网络重保布局就显得尤为重要，因为一旦涉及到民生层面了，必然会受重视，所以让对方掌握自己更少的数据也变得异常必要，不然打起网络战，人家APT了你好几年了，各种布局全都知道了，跟搂草打兔子一样简单。

APT这个概念，还真不是炒出来的

p.s. 高级威胁其实和APT是包含关系，一般来说APT只是高级威胁的一种，比如大家常说的渗透测试其实相对甲方而言的话也算高级威胁，但是渗透测试并不具备高持续性，但APT一旦被发现你很有可能被搞了几年了。

赞同 186 条评论收藏感谢

18 人赞同了该回答

越是高富帅的公司、单位，越需要APT防御，但被教育的力度还远远不够；经常是被黑了都不知道，过了几年才从小道消息知道原来被黑了。

越是屌丝的站，越不需要APT。

赞同 185 条评论收藏感谢

3 人赞同了该回答

古典艺术APT发展的顶峰毫无疑问是Duqu和Stuxnet。从某种意义上来说，这两个东西其实是代表了两个极端，Duqu是维特根斯坦，一剑封喉，内核漏洞唯快不破，而Stuxnet则是柏拉图，丝丝入扣，大量漏洞互相配合。这两个真正意义上APT的出现，宣告了一个时代的来临，但很遗憾地也宣布了这个时代注定不属于大宋。因为主观上，这种团队合作和组织协调在我宋还没有出现的土壤，客观上，神洞或者一堆神洞的可能性已经很小了，加上现在基本上是老一代中年危机，新一代打酱油的时期，APT中的T问题不大，但A真是很难，P就更谈不上了。

烧博士14年的文章说的就很明白了

后现代艺术：解构主义APT | 0x557

赞同 3添加评论收藏感谢

1 人赞同了该回答

APT相当于升级版的社会工程学攻击。
A高级：使用了各种技术，特别是0 day漏洞利用
P持久的：持续很久，隐蔽的，被动的攻击（监听）
T威胁。

赞同 1添加评论收藏感谢

3 人赞同了该回答

个人感觉有炒作概念，早就有这么干的，又不是新技术。小毛贼能偷谁家就偷谁家，偷一家是一家，而大盗瞄着大户偷，非偷成了不行，一直惦记着直到成功，所以称apt为技术不准确更应该是策略，穷尽所有手段直到拿下目标。
就大户的防御而言，难度确实大，人是核心要素，对精通社工的攻击者而言总是能找到弱点的。技术是基础支撑，但一般不是决定作用，除非攻击防御技术有代差。

赞同 3添加评论收藏感谢

我两年前就写过，再写一遍：

apt是个框，什么都往里装。

哪位有本事把p讲清楚，再来跟我辩。

扯了半天就是a，而且a根本没有准确的定义。

哪位真正见过p？？？举个例子出来？？

赞同添加评论收藏感谢

2 人赞同了该回答

认可的说法。顺便补充下我个人认识的APT。
1、APT只是一个攻击的持续与方式多样化
2、持续：我把它看作一群人长期的、目的性明确的攻击某点
3、方式：我把它比喻成a、b、c等多个黑客用不同的手法攻击一个点
总的说，APT本身有夸大我是不同意这种说法的。但某些安全厂商的炒作那只是一种营销手段，也并没有对APT夸大或神化之说，最少目前没有。APT是一个“持续时间长目标明确”的一个攻击手段，但并不是一个“目标明确持续时间长”的手段。建议查看“伊朗”。

赞同 21 条评论收藏感谢

1 人赞同了该回答

毫无疑问，是。
看着知乎很多安全界相关人士吃着apt的饭替apt说话，本身就逃不出利益干系，又有何必要大谈特谈？
apt本身就是概念炒作。
首先，apt的提出并没有对攻击手段带来根本的改变，apt之前什么套路，apt之后大致也是这个套路。
其次，apt的各要素，本身就是传统攻击和渗透一直在践行而且重视到的。
所谓apt防护，和以前所谓智能放火墙，有什么区别？
毫不客气的说，以前没有概念的时候的一款优秀的防火墙，拿到现在，就是一款优秀的apt防御工具。

赞同 1添加评论收藏感谢

1 人赞同了该回答

它叫什么无所谓，但这种复杂且高级的攻击形式老早就存在了，随着政治、经济及军事斗争的复杂性升级，网络领域的战争，伴随着网络基础架构的规模的日益庞大，不可避免的会走到APT这个级别，且随着机器学习及人工智能的发展，APT攻击只会越来越高级，你看看这些能有个感性认识

阻挡APT高级攻击toutiao.secjia.com

沙特遭遇新一波APT攻击toutiao.secjia.com

横向移动攻击紧盯关键资产和数据toutiao.secjia.com

应对APT攻击新方法toutiao.secjia.com

工控安全报告称APT攻击威胁采矿行业-安全头条-安全加toutiao.secjia.com

卡巴发布2017Q3APT威胁报告toutiao.secjia.com

下载 | 2017网络犯罪威胁评估报告主要是关键基础设施、DDoS及APTtoutiao.secjia.com

赞同 1添加评论收藏感谢收起

1 人赞同了该回答

其实是国内反应太慢了，可以去看下美帝军工巨头lockheed martin当时被攻击的处理报告，这种及时的反应能力不是安全人员的直觉，而是一款好的智能防火墙。

赞同 12 条评论收藏感谢

必须炒作啊 apt 我个人理解是持久性的一种攻击可以是一年可以是10 年甚至更久你怎么防范？其中就包括社工了社工怎么防？你自己安全做的很好意识强你总会有猪一样的队友会被出卖的

赞同添加评论收藏感谢

防御APT攻击的产品，这是为了拿下市场份额的过度炒作吗？
完全同意这句话，APT攻击说到底就是攻击模式无非就是从员工或客户入手逐步扩展到内网再到核心数据，并非一些软件或者硬件造成，然而对黑客有用的数据（换句话说，也就是一些大公司），他们需要做的就是培训再培训，然而还是被黑，再被黑，我个人见过有很多黑客他们都是用APT攻击来突破，原因很简单，就是能省去很多麻烦，掌握了内网的一台PC，就很容易得到控制整个域的权限。
总结，APT攻击的需要的不是防御产品，而是需要加强对核心员工的安全培训。

赞同添加评论收藏感谢

世界上最大的APT就是美国，想了解皮毛的去找斯诺登，想对付的去把国内所有的windows、cisco、citrix什么的都开发出自主闭源版本，想赚不懂概念还人傻钱多公司团体钱的就继续炒作概念。

赞同添加评论收藏感谢

邮箱XSS&探针定向exp 从外围员工慢慢渗透入内网

赞同1 条评论收藏感谢

未来APT的攻击强度将取决于APT防御产品的营收

赞同添加评论收藏感谢

阅读(769) | 评论(0) | 转发(0) |

上一篇：Gartner：2017十大战略技术趋势（中文版）

下一篇：当AI遇上SIEM，会碰撞怎样的火花

给主人留下些什么吧！~~

感谢所有关心和支持过ChinaUnix的朋友们

16024965号-6