В арсенале киберпреступников  большое количество разновидностей атак, инструментов и методов. Некоторые - универсальны, другие - предназначены лишь для выполнения специфических задач. Один из таких инструментов — целевые кибератаки (advanced persistent threat, APT). Первыми термин APT начали использовать специалисты компании Lockheed Martin. Изначально так называли лишь атаки, направленные на военные и государственные объекты. Сейчас термин APT используют для обозначения всех сложных атак, цель которых — направленное многоходовое проникновение в инфраструктуру для несанкционированной эксплуатации инфраструктуры жертвы в корыстных или личных целях. Как правило, APT-атаки тщательно готовятся. Они направлены на конкретные компании или организации. Организаторы таких атак в подавляющем большинстве случаев — преступные группировки со значительными ресурсами.

• Разведка на местности. Киберпреступники изучают инфраструктуру предполагаемой жертвы. Чем больше информации о ней злоумышленник может найти в доступных источниках, тем проще определить векторы будущих атак.
• Активная фаза. После того, как злоумышленники получают необходимую информацию о жертве или жертвах, начинается следующий этап. Чаще всего это социальная инженерия, подбор паролей, эксплуатация уязвимостей и ошибок в конфигурации оборудования. Цель этого этапа — получение доступа к внутренним корпоративным системам. На этом этапе жертва уже может видеть признаки APT-атаки. Например, частое поступление фишинговых писем сотрудникам, необычное поведение IT-систем, уничтожение логов событий и т.п. Доступ к информации еще сохраняется. Киберпреступники до определенного момента маскируют свою деятельность, закрепляясь в инфраструктуре и оставляя бэкдоры.

• Изучение инфраструктуры изнутри. Получив доступ к определенным ресурсам, злоумышленник переходит к выявлению критичных для жертвы систем. На этом этапе деятельность киберпреступников становится хорошо заметной, хотя и не во всех случаях. Вовремя отреагировав, можно сорвать атаку. Обязательно нужно установить, как злоумышленник попал в сеть организации, какие ресурсы скомпрометированы, где и как установлены бэкдоры. Без расследования жертва рискует получить продолжение атаки.

• Финал APT-атаки. Это получение киберпреступниками максимально возможного контроля над инфраструктурой и активами жертвы. Дальнейшая несанкционированная эксплуатация инфраструктуры жертвы может быть какой угодно: кража средств, нарушение работоспособности промышленных систем, атака других систем при помощи уже скомпрометированной.

• Система ловушек Honey Tokens. При условии грамотной настройки ловушки позволяют выявить признаки присутствия злоумышленника и вовремя принять меры, направленные на защиту активов компании.
• Аппаратные устройства однонаправленной передачи данных. На базе таких устройств/систем совместно с файерволами можно организовывать хорошо защищённые сегменты сети. Передача трафика через такие устройства выполняется в одном направлении. Отсутствие обратной связи осуществляется при помощи гальванической развязки. Для систем, требующих двунаправленный трафик, используются схемы с двумя  однонаправленными устройствами. При такой защите злоумышленнику становится довольно сложно получить доступ в защищенную область из-за отсутствия обратной связи.
• SIEM-система. Позволяет агрегировать и анализировать события из ИТ-систем.  Грамотно развернутая и правильно настроенная система позволит специалистам вовремя отреагировать на возникающие угрозы, которые могут являться частью АРТ-атаки.

По материалам интернета