APT（高級持續性威脅）區別於傳統攻擊：攻擊者為有紀律專業團隊，目標直指知識產權、機密項目、合同專利。非單純盜竊資金。過去十年經驗總結，出現以下五大信號，極大概率已遭 APT 滲透。

信號一：夜間登錄日志異常暴增

攻擊者先攻陷單機，再橫向移動：讀取數據庫認證、竊取憑證、復用特權。因時差關係，大量登錄/登出日志爆發常發生於夜間非工作時間。若發現非上班時段大量認證活動，立即啟動應急響應。

信號二：廣泛部署後門木馬

APT 在開發環境、受感染主機植入後門，確保持久化存取。即使憑證變更仍可回訪。關鍵差異：暴露後不撤退銷毀痕跡，因已控制關鍵設備，法律流程難以根除潛在威脅。多數植入源於社交工程攻擊。

信號三：意想不到的數據流動

最佳檢測手段：監測內部→外部的大量非預期數據流。可能為：伺服器→伺服器、伺服器→客戶端、跨網段橫向移動。需部署流量分析（NTA）、數據防洩漏（DLP）、UEBA（用戶實體行為分析）。

信號四：異常賬戶活動與權限提升

服務賬戶、管理員賬戶在非維護窗口活躍、首次訪問敏感資源、權限異常提升、創建新特權賬戶。攻擊者偏好利用合法憑證「活在陸地上」，而非使用漏洞利用代碼。

信號五：針對性釣魚與水坑攻擊痕跡

高度定制的釣魚郵件（針對特定部門/角色）、受信任網站被植入惡意代碼（水坑攻擊）、供應鏈軟體更新被劫持。員工回報可疑郵件率上升、安全意識培訓點擊率異常，均為預警指標。

企業級檢測響應能力建設

• 部署 SIEM + SOAR，實現日志關聯分析與自動化響應
• 建立基線行為模型，異常偵測替代規則匹配
• 威脅狩獵團隊主動尋找潛伏威脅
• 建立屬於組織的威脅情報庫，結合外部情報豐富上下文

APT 防禦核心假設：已被滲透。從「防入侵」轉向「假設失陷、快速發現、限制損害、持久清除」的韌性思維，才是應對 APT 的正確姿態。