APT（高級持續性威脅）與傳統攻擊本質不同：攻擊者為紀律嚴明的專業團隊，目標直指知識產權/機密項目/合同專利。手段常從釣魚郵件/社工起步，但最終指向核心資產。若入侵唯一意圖是盜錢，多半非APT。真實APT留下五大信號：
攻擊者時區相反，夜間批量利用竊取的憑證/證書橫向移動，接管網絡。若非工作時間大量認證事件爆發，立即調查。
開發環境/關鍵主機植入後門，確保憑證變更後仍可回訪。關鍵差異：暴露後不撤離、不清理痕跡——因已控制設備、法律流程難追究。社工手段（釣魚/誘餌）是主要投放向量。
內部服務器→外部、服務器間、客戶端→外部、網段間異常大流量外發。最佳檢測點：邊界流量行為分析（基線+機器學習），而非單純簽名匹配。
服務帳號/管理員帳號在非維護窗口、非常用主機/地理位置登錄，執行非業務指令（如whoami、net user、掛載遠程共享）。
DNS記錄修改、計劃任務/服務註冊異常、防火牆規則變更、啟動項植入、內核模塊加載——攻擊者鞏固持久化立足點。
APT不怕你有防火牆，就怕你不看日誌、不懂基線、不演練。