回归基础：简单技巧挫败复杂APT攻击

高级持续性威胁(ATP)，是当今企业面对的最隐蔽网络攻击之一。大名鼎鼎的震网蠕虫，2014年索尼影业被黑，2015 年的 Hacking Team，前不久NSA的Equation……

那么，APT会影响到你的公司吗?信息系统审计与控制协会(ISACA)的《2015 APT意识研究》发现：74%的受访者认为他们会被APT盯上，28%已经被攻击了。问题在于，APT在本质上，非常的复杂高端。它们本来就具备隐秘潜伏逃脱检测的属性，可以悄悄在网络中传播数周乃至数月之久。

似乎想要缓解APT风险意味着要部署非常复杂的网络安全措施，大部分普通企业不太能够实现的样子。事实上，并非如此。回归基础就能大大有助于缓解APT风险：理解这种攻击策划和部署的基础，弄清自家公司网络结构，便可助力阻止此类攻击。简言之，就是要理解怎样减小暴露在恶意黑客眼前的攻击界面

[[172078]]

理解APT结构

无论多复杂，所有APT攻击总是遵循类似的流程：

1. 侦察

攻击者采用多种技术描绘公司网络拓扑，摸清安全策略和应用，发现可供切入的远程访问功能的信息收集过程。

公开渠道情报(OSINT)：扫描对外开放服务中的漏洞;

人类来源情报(HUSINT)：从关键员工身上收集访问信息;

踩点：识别出公司使用的软件或资源版本，用旗标获取、SNMP(简单网络管理协议)扫描和区域复制等技术描绘出网络基础设施的概况。

2. 漏洞利用投放

一旦目标网络的合适切入点被找到，攻击者便会投放恶意工具或应用程序来渗透网络。可供选择的攻击方法包括：电子邮件附件、所谓的‘水坑’攻击——控制目标很可能访问的一个已有网站，或者直接在受感染U盘上物理载入漏洞利用程序。

3. 探测和横向扩展

成功进入目标网络之后，攻击者的下一个目标就是在网络中横向移动，最终染指有价值的公司数据。不过，这些数据通常都在另一台计算机系统上，因此，攻击者需要找到一条通路。横向移动就是APT持续性的立足点。探测需要时间，个人用户会在这段时间里很有可能会重启系统，修改他们的安全签名，让攻击者难以再次访问他们的机器。

因此，攻击者的理想目标，是在个人计算机上直接部署能让他们在需要的时候可以重新登录系统的软件，最好是用户重启系统或者打了补丁也可以重新登录。达成这一愿望最常见的方法，是同远程管理工具(RAT)——远程故障诊断或帮助台功能所用的同类型工具。RAT的安装让攻击者得以在目标机器上留下后门，想登录就登录。

4. 渗漏

最终，攻击者抽取到属意的有价值信息，或许是通过HTTP混入到良性流量中，或许是通过HTTPS等将之加密以便难以被识别。

缩减网络攻击界面

虽然阻止攻击者实施APT第一阶段探测很难——毕竟很多OSINT扫描技术都没什么秘密可言，防止他们在网络内横向移动搜索有价值数据还是可能的，只要遵循一些最基本的原则就行：

1. 网络分段

根据使用模式和所处理的数据类型，将平面化的内部网络分割成多个区域。网络分段可防止APT从一台“踏脚石”机器跳到另一台。

2. 各区域间设置防火墙过滤流量

“咽喉点”——比如防火墙，必须布置在各区域之间，过滤进进出出的流量。换句话说，内部、横向的流量通道上都必须安置有防火墙，而不仅仅是在网络边界上。

3. 防火墙必须有严格的安全策略

Gartner研究表明：99%的防火墙渗漏都是由防火墙错误配置引起的，不关防火墙漏洞的事儿。很明显，防火墙绝对应该被正确而合理地配置，要能分析并封锁触发APT警报的那类内部通信。

在对自身网络进行分段时，需要考虑以下2种所有网络都应划分成的区域类型。首先，识别并定义敏感数据区，包含处理和存储支付卡及信用卡信息、员工记录、公司财务、知识产权和管理数据的系统。其次，识别并定义包含人可接触到的台式机、笔记本、平板和智能手机的人类用户区域。也许你已经划分了无线接入区，但无线接入的台式机也应被划分出来。因为APT的第一攻击点通常都是台式机，这个分割就能防住APT的横向移动了。

以上几点听起来相当简单，因为本来就很简单。应铭记的重点是：物理APT有多高端，它都是在你的地盘运作。发现自己网络中的APT迹象或许很具挑战性，但只要智慧运用安全基本原则，挡住横向探索，阻住APT的进击轨道，还是有可能的。