Označení neznamená, že každé cílené vniknutí, státem sponzorovaný aktér, případ špionáže nebo technicky složitá událost malwaru je APT.
Cíle mohou zahrnovat sběr informací, narušení, ovlivňování, krádež nebo pozicování pro pozdější akci. APT mohou používat vlastní schopnosti nebo obyčejné metody jako ukradené přihlašovací údaje, veřejné nástroje, sociální inženýrství a administrativní funkce. Názvy se mezi výzkumníky liší, takže atribuce vyžaduje důkazy.
Klíčové body
Rozlišující charakteristikyZvažte zdroje, odbornost, trvalost cílů, opakované pokusy o přístup, operační bezpečnost, adaptaci a schopnost kombinovat kybernetické, fyzické, lidské či dodavatelské cesty.
Obranné důkazyZachovejte časové osy a vztahujte identitu, koncové zařízení, síť, cloud, aplikaci a externí informace o hrozbách k taktikám, technikám a postupům (TTPs), nikoli jednomu indikátoru či rodině malwaru.
Reakce na rizikoPrioritizujte důležité mise a data, snižte exponované cesty a trvalá oprávnění, segmentujte kritické funkce, monitorujte trvanlivé chování, nacvičujte obnovu a plánujte na pokusy o návrat.
Důležité omezení„Pokročilý" není měřený stupeň, „persistentní" nedokazuje nepřetržitou přítomnost a označení APT nezakládá, kdo operaci řídil. Nadměrné používání může přehánět slabé důkazy, zveličovat aktéra a odvádět pozornost od napravitelných selhání kontrol.