APT（Advanced Persistent Threat，高級持續性威脅）非單一攻擊工具，而是具備極強隱蔽性、針對性、持續性的攻擊戰役。攻擊者利用受信應用漏洞建立 C&C 網路，前期投入數月情報蒐集（業務流程、系統架構、0day 漏洞），如好萊塢鉅片《偷天換日》般精心佈局，最終從秘密通道悄無聲息竊取核心資產。西方先進國家已將 APT 防禦列入國家網安戰略核心，傳統 IPS/IDS、防火牆、甚至 NGFW 面對 0day 與定向攻擊幾乎失效。
APT 與傳統網路犯罪本質差異
| 維度 | 傳統網路犯罪 | APT 攻擊 |
|---|
| 動機 | 經濟利益、破壞、炫技 | 情報蒐集、知識產權竊取、戰略佈局 |
| 目標選擇 | 機會主義、廣撒網 | 高度針對性、特定組織/個人 |
| 攻擊周期 | 短期（小時/天） | 長期（月/年），持續潛伏 |
| 工具武器 | 通用惡意碼、現成工具包 | 定制化武器、0day、供應鏈投毒 |
| 隱蔽能力 | 低，易被特徵碼檢測 | 極強，反取證、反分析、活在陸端 |
| 組織形式 | 個體/鬆散團夥 | 國家級/專業團隊、軍事化管理 |
| 撤離策略 | 快速撤離、銷毀痕跡 | 長期駐留、多重後門、備用通道 |
典型 APT 滲透路徑（殺傷鏈 Kill Chain）
- 偵察：公開情報（OSINT）、社交工程、供應鏈分析
- 武器化：針對性製作惡意文件/連結、利用 0day
- 投遞：釣魚郵件、水坑攻擊、供應鏈投毒、物理媒介
- 利用：客戶端漏洞利用（Office、瀏覽器、PDF 閱讀器）
- 安裝：植入 Rootkit、後門、Downloader、C&C 通道建立
- 命令控制：加密通訊、域前置、合法雲服務隧道、定時回連
- 目標行動：橫向移動、權限提升、資料蒐集、壓縮加密、隱蔽外傳
傳統防禦體系失效根因
- 依賴特徵庫的被動防禦，無法識別 0day 與未知變種
- 邊界防禦思維，無法應對內網橫向移動與合法憑證盜用
- 缺乏全流量全日誌留存與關聯分析能力，盲區巨大
- 安全設備獨立運作，缺乏統一編排與自動化回應
APT 防禦體系建設四大支柱
1. 可見性：全流量封包級留存＋全日誌審計
部署流量鏡像/分流設備，核心鏈路 100% 封包留存 30 天以上；統一收集防火牆、伺服器、端點、應用、雲平台日誌，建立資料湖。
2. 偵測力：多引擎協同＋威脅情報融合
- NDR（網路偵測回應）：流量行為分析、異常協議、數據外洩模型
- EDR/XDR：端點行為監控、進程樹分析、記憶體掃描、MITRE ATT&CK 對齊
- UEBA：用戶/實體行為分析，識別帳號盜用、權限濫用
- 威脅情報平台（TIP）：商業/開源/行業情報自動化餵入，豐富告警上下文
3. 韌性：零信任架構＋微隔離
- 身分為新邊界：MFA、最小權限、即時存取（JIT）、會話監控
- 微隔離：工作負載級東西向流量管控，阻斷橫向移動
- 關鍵資產加密：靜態/傳輸中/使用中全生命週期加密
4. 回應力：SOAR 自動化編排＋紅藍軍實戰
- 劇本化處置流程：封鎖 IP、隔離端點、重置憑證、快照回滾
- 定期紅隊演練：模擬真實 APT 戰術技術程序（TTPs）驗證防禦有效性
- 威脅狩獵：主動假設已失陷，尋找 IOC 與 TTPs 痕跡
給 CISO 的五條建議
- 將 APT 防禦納入董事會風險報告，爭取資源與授權
- 建立資產全景圖：你保護不了你不知道的資產
- 投資人才而非單純堆疊工具：資安分析師、威脅獵人、逆向工程師
- 供應鏈風險管理：納入協力廠商安全評估與持續監控
- 假設失陷：從「防止入侵」轉向「快速發現、限制損害、迅速恢復」