Etykieta nie oznacza, że każda ukierunkowana intruzja, aktor sponsorowany państwowo, sprawa szpiegostwa czy technicznie złożone zdarzenie złośliwego oprogramowania jest APT.
Cele mogą obejmować zbieranie wywiadu, zakłócanie, wpływ, kradzież lub pozycjonowanie do późniejszego działania. APT mogą używać własnych narzędzi lub zwykłych metod, takich jak skradzione poświadczenia, publiczne narzędzia, socjotechnika i funkcje administracyjne. Nazwy różnią się między badaczami, więc atrybucja wymaga dowodów.
Najważniejsze punkty
Cechy odróżniająceRozważ zasoby, ekspertyzę, trwałość celów, powtarzane próby dostępu, bezpieczeństwo operacyjne, adaptację i zdolność łączenia ścieżek cybernetycznych, fizycznych, ludzkich lub łańcucha dostaw.
Dowody obronneZachowuj osie czasu i wiąż dowody tożsamości, punktów końcowych, sieci, chmury, aplikacji i zewnętrznych informacji o zagrożeniach z taktykami, technikami i procedurami (TTP), a nie z jednym wskaźnikiem czy rodziną złośliwego oprogramowania.
Reakcja na ryzykoPriorytetyzuj istotne misje i dane, ograniczaj eksponowane ścieżki i stałe uprawnienia, segmentuj funkcje krytyczne, monitoruj trwałe zachowania, ćwicz odtwarzanie i planuj na próby ponownego wejścia.
Istotne ograniczenie„Zaawansowane" nie jest mierzalnym stopniem, „trwałe" nie dowodzi ciągłej obecności, a etykieta APT nie ustala, kto kierował operacją. Nadużywanie jej może wyolbrzymiać słabe dowody, gloryfikować aktora i odciągać uwagę od możliwych do naprawienia usterek kontroli.