Avancerade ihållande hot: första salvo i nästa cyberwar?

En attack på ett datornätverk är inte nyhetsrubriker längre, men det finns en annan typ av attack som leder till cybersäkerhetsproblem till nästa nivå. Dessa attacker kallas avancerade persistenta hot (APT). Ta reda på hur de skiljer sig från vardagens hot och varför de kan orsaka så mycket skada i vår granskning av några högprofilerade fall som har inträffat under de senaste åren. (För bakgrundsläsning, kolla in de 5 mest skrämmande hoten i teknik.)

Vad är en APT?

Termen avancerat persistent hot (APT) kan hänvisa till en angripare med betydande medel, organisation och motivation att genomföra ett långvarigt cyberattack mot ett mål.

En APT är inte överraskande avancerad, ihållande och hotande. Den är avancerad eftersom den använder stealth- och flera attackmetoder för att kompromissa med ett mål, ofta en högvärdesföretags- eller regeringsresurs. Denna typ av attack är också svår att upptäcka, ta bort och attribut till en viss angripare. Värre ännu, när ett mål har brutits skapas ofta bakdörrar för att ge angriparen kontinuerlig åtkomst till det komprometterade systemet.

APTs anses vara ihållande i den meningen att angriparen kan spendera månader på att samla underrättelser om målet och använda den underrättelsen för att starta flera attacker under en längre tid. Det hotar eftersom gärningsmännen ofta efter mycket känslig information, till exempel utformningen av kärnkraftverk eller koder för att bryta in USA: s försvarsentreprenörer.

En APT-attack har i allmänhet tre primära mål:

• Stöld av känslig information från målet
• Övervakning av målet
• Sabotage av målet

Angriparen hoppas kunna uppnå sina mål medan han förblir oupptäckt.

Förövarna av APT: er använder ofta pålitliga anslutningar för att få tillgång till nätverk och system. Dessa förbindelser kan till exempel hittas genom en sympatisk insider eller oavsiktlig anställd som faller rov för en spjutfiskattack.

Hur är APT: er olika?

APT: er skiljer sig från andra cyberattacker på flera sätt. För det första använder APTs ofta anpassade verktyg och intrångstekniker - som sårbarhetsutnyttjande, virus, maskar och rootkits - utformade specifikt för att penetrera målorganisationen. Dessutom startar APT: er ofta flera attacker samtidigt för att bryta sina mål och säkerställa kontinuerlig åtkomst till riktade system, ibland inklusive en lockbock för att lura målet att tro att attacken har framgångsrikt avvisats.

För det andra, APT-attacker inträffar under långa perioder under vilka attackerna rör sig långsamt och tyst för att undvika upptäckt. I motsats till den snabba taktiken för många attacker som lanseras av typiska cyberbrottslingar, är APT: s mål att förbli oupptäckt genom att flytta "lågt och långsamt" med kontinuerlig övervakning och interaktion tills angriparna når sina definierade mål.

För det tredje är APT: er utformade för att tillfredsställa kraven på spionage och / eller sabotage, vanligtvis med hemliga statliga aktörer. Målet med en APT inkluderar insamling av militär, politisk eller ekonomisk underrättelse, konfidentiell information eller handelshemligt hot, avbrott i operationer eller till och med förstörelse av utrustning.

För det fjärde syftar APT till ett begränsat antal mycket värdefulla mål. APT-attacker har inletts mot myndigheter och anläggningar, försvarsentreprenörer och tillverkare av högteknologiska produkter. Organisationer och företag som underhåller och driver nationell infrastruktur är också troligt mål.

Några exempel på APT: er

Operation Aurora var en av de första allmänt publicerade APT: erna; serien av attacker mot amerikanska företag var sofistikerad, riktad, snygg och utformad för att manipulera mål.

Attackerna, som genomfördes i mitten av 2009, utnyttjade en sårbarhet i Internet Explorer-webbläsaren, vilket gjorde det möjligt för angriparna att få tillgång till datorsystem och ladda ner skadlig programvara till dessa system. Datorsystemen var anslutna till en fjärrserver och intellektuell egendom stuldes från företagen, som inkluderade Google, Northrop Grumman och Dow Chemical. (Läs om andra skadliga attacker i skadlig programvara: maskar, trojaner och bots, Oh My!)

Stuxnet var den första APT som använde ett cyberattack för att störa fysisk infrastruktur. Trots att Stuxnet-ormen trodde ha utvecklats av USA och Israel riktade de industriella kontrollsystemen i ett iransk kärnkraftverk.

Trots att Stuxnet verkar ha utvecklats för att attackera iranska kärnkraftsanläggningar, har den spridit sig långt utöver det avsedda målet och kan också användas mot industrianläggningar i västländer, inklusive USA.

Ett av de mest framträdande exemplen på en APT var överträdelsen av RSA, ett dator- och nätverkssäkerhetsföretag. I mars 2011 spratt RSA en läcka när den penetrerades av en spjutfiskattack som anslöt en anställd och resulterade i en enorm fångst för cyberattackers.

I ett öppet brev till RSA postat av kunder till företagets webbplats i mars 2011 sade verkställande ordförande Art Coviello att en sofistikerad APT-attack hade extraherat värdefull information relaterad till dess SecurID-tvåfaktors-autentiseringsprodukt som används av fjärrarbetare för att säkert komma åt företagets nätverk .

"Även om vi för närvarande är övertygade om att den extraherade informationen inte möjliggör en framgångsrik direktattack mot någon av våra RSA SecurID-kunder, kan denna information potentiellt användas för att minska effektiviteten för en nuvarande implementering av tvåfaktorsautentisering som en del av en bredare attack, "sa Coviello.

Men det visade sig att Coviello var fel om det, eftersom många RSA SecurID-tokenkunder, inklusive den amerikanska försvarsjätten Lockheed Martin, rapporterade attacker till följd av RSA-brottet. I ett försök att begränsa skador, gick RSA med på att ersätta tokens för sina nyckelkunder.

Vart APTs?

En sak är säker: APT: er kommer att fortsätta. Så länge det finns känslig information att stjäla, kommer organiserade grupper att följa den. Och så länge nationer finns kommer det att finnas spionage och sabotage - fysiskt eller cyber.

Det finns redan en uppföljning av Stuxnet-ormen, kallad Duqu, som upptäcktes hösten 2011. Som en sovande agent inbäddade Duqu sig snabbt i viktiga industriella system och samlar intelligens och bjuder på sin tid. Du kan vara säker på att det studerar designdokument för att hitta svaga platser för framtida attacker.

21-talets säkerhetshot

Visst kommer Stuxnet, Duqu och deras arvingar alltmer plåga regeringar, operatörer av kritisk infrastruktur och proffs inom informationssäkerhet. Det är dags att ta dessa hot lika allvarligt som de vardagliga informationssäkerhetsproblemen i vardagen under 2000-talet.