apt攻击的4个要素是啥

一个APT攻击能得手，攻个素从来不是攻个素靠单一漏洞的运气。它背后站着四个缺一不可的攻个素要素，少了任何一个，攻个素整条攻击链都会断掉。攻个素这四个要素分别是攻个素：情报、武器、攻个素通道和持久性。攻个素

先说情报。攻个素这可不是攻个素百度搜一下目标公司官网那么简单。真正的攻个素APT攻击者会花几周甚至几个月去摸清目标的技术栈、员工习惯、攻个素甚至机房保洁员的攻个素换班时间。2015年乌克兰电网被攻击前，攻个素黑客已经提前半年在钓鱼邮件里植入恶意宏，攻个素悄悄记录了电网操作员的键盘习惯。没有这份前期侦察，后续的攻击就像蒙眼射箭，纯靠运气。

武器这块，很多人以为就是0day漏洞。但现实中，更多APT用的是“老酒装新瓶”——把已知漏洞稍微改改，或者干脆利用目标自己部署的合法工具。比如用PowerShell脚本做内网渗透，用TeamViewer做远程控制。这些工具本身就装在系统里，杀毒软件根本不会拦。2017年那场席卷全球的NotPetya，表面上是勒索软件，内核其实是伪装成更新包的磁盘擦除器，用的还是NSA泄露的永恒之蓝漏洞。

通道是第三个要素。攻击者必须有一条稳定、隐蔽的数据传输路径。常见做法是DNS隧道——把窃取的数据拆成小块，塞进DNS查询请求里，看起来就是普通的上网行为。更绝的是有些攻击者会利用公共云服务做跳板，比如把数据伪装成正常的HTTPS流量发到Google Drive。这种通道最怕的不是被防火墙发现，而是被流量分析设备看出规律性——所以老练的攻击者会故意让流量带点随机抖动，模仿真实用户的手误。

最后的持久性，才是APT和普通黑客的分水岭。普通黑客捞一笔就走，APT攻击者却要在目标网络里“住下来”。他们会同时植入三四种后门，每种用不同的协议和加密方式。就算你清掉一个，另外几个还能继续工作。更阴险的是，他们会篡改日志文件、修改系统时间戳，让你查不出到底是哪天被入侵的。2011年RSA公司被攻击后，花了整整两个月才确认攻击者早在一年前就进了内网——期间对方一直在安静地翻看他们的机密邮件。

这四个要素互相咬合，缺一不可。没有情报，武器就不知道往哪打；没有通道，偷来的数据传不出去；没有持久性，前面全白干。防御方呢？往往只盯着武器这一个点打——补漏洞、装杀软，却忽略了情报和通道的隐蔽性。这也是为什么很多企业明明买了天价安全设备，最后还是被APT打得满地找牙。说到底，攻击者是在用系统工程思维跟你玩，而你还在用单点防御的思路死守。

本文地址：http://www.79wt.cn/news/855a1299132.html