趨勢科技 TrendLab 將 APT 攻擊劃分為六階段，助企業建立本地威脅情報與動態防禦策略：
- 情報收集：鎖定目標員工，利用社交網站洩露資訊繪製組織架構與 IT 環境圖譜。僅 31% 企業懲處洩密員工。
- 進入點：釣魚郵件、即時通訊、社交網路、應用程式漏洞。87% 組織有用戶點擊精心設計的惡意連結。
- 命令與控制 (C&C)：定位存放敏感資料的關鍵主機，利用 Web 協定與 C&C 伺服器持續通訊確認立足點。
- 橫向擴展：利用 Pass-the-Hash 等技術提權至管理員等級，掌控郵件伺服器、域控制器等核心資產。
- 資產/數據發掘：分析哪些數據具價值（機密資料佔 2/3 但僅 50% 安全預算用於保護）。
- 數據竊取：分批加密外傳，規避流量異常檢測。
防禦啟示
- 各階段部署對應感測器：郵件沙箱、EDR、網流行為分析 (NBA)、DLP、蜜罐。
- 建立攻擊鏈關聯分析平台 (如 MITRE ATT&CK 對應)，實現單點告警向攻擊活動串聯轉化。
- 重點保護高價值資產：資料分級、加密、最小權限、零信任網段。
APT 非單一攻擊而是持續作戰，防禦亦須持續演進。