腾讯安全2018上半年高级持续性威胁(APT)研究报告
高级持续性威胁(APT)检测技术综述
电信技术研究RESEARCH ON TELECOMMUNICATION TECHNOLOGY总第406期2019年第2期高级持续性威胁(APT)检测技术综述杨雄坤邓月华摘要：高级持续性威胁(advanced persistent threat,APT)已成为网络空间的主要威胁之一，相关研究也方兴未艾。
对当前APT检测技术进行归纳梳理，首先介绍APT 起源、定义等相关知识，归纳APT的基本特点、攻击步骤和主要特征；其次针对传统防御系统的不足，提出检测APT三个方面的技术需求；然后总结现有的APT攻击防御框架及检测技术，并简要分析各种方法的优缺点；最后展望APT攻击检测技术发展方向。
关键词：网络安全；APT;检测技术；需求1引言世界己经进入了网络化的时代，人们在享受网络的方便快捷的同时也饱受来自网络攻击的苦恼。
据国家互联网应急中心(National Internet E-mergency Center,CNCERT)统计⑴，2017年我国共接收境内外报告的网络安全事件103400起，网络攻击的形式层出不穷，其中有传统的病毒、木马等攻击，也有近年兴起的APT等高级攻击。
APT的巨大危害性使得它备受关注，堪称在网络空间里的“核武器”。
例如：2010年“震网”病毒针对伊朗核设施的攻击，使得伊朗核计划推迟；2015年乌克兰电力系统遭受病毒攻击使得乌克兰部分地区80000用户断电数小时。
因此，对APT的研究越来越受到各国政府、国际机构和安全公司的重视，产业界针对防御AP-T攻击的产品不断涌现，学术界对APT的相关研究也作了许多有益的探索，提出了各种检测防御方法。
在此基础上，本文对当前APT 检测技术进行了总结，后续结构安排如下：第二节具体介绍APT的定义和特征等背景知识；责任编辑：田筱第三节分析检测APT的技术需求；第四节总结当前APT的主要检测技术；第五节探讨APT 检测技术发展方向；最后是结束语。
2APT背景知识2.1起源、定义和案例APT一词最早提出于2006年，但最早关于APT的报道是在2010年，伊朗核设施受到“震网”病毒攻击。
高级持续性威胁(APT)及其对企业的影响
高级持续性威胁（APT）及其对企业的影响引言随着信息技术的快速发展和互联网的普及，计算机网络安全面临前所未有的挑战。
恶意黑客和网络攻击者越来越善于利用漏洞和技术手段来入侵企业网络系统，其中最为危险和隐蔽的攻击形式之一就是高级持续性威胁（Advanced Persistent Threat，简称APT）。
APT是指由高级黑客组织或国家级黑客攻击团队对特定目标进行长期的、持续性的攻击活动。
与传统的黑客攻击相比，APT更加隐蔽和复杂，攻击者通常会采取多种手段和技术来入侵目标系统，并且会尽可能不被目标发现。
APT的特点APT攻击具有以下几个主要特点：1.高级技术手段：APT攻击者通常具备较高的技术水平和专业知识，能够利用最新的漏洞和技术手段来入侵目标系统，使其攻击效果更加具有破坏力和隐蔽性。
2.长期持续性：与传统的短期攻击不同，APT攻击通常会持续数月甚至数年，攻击者会持续监控目标系统，并不断调整攻击策略，以确保他们的攻击持续有效。
3.隐蔽性：APT攻击者会尽可能避免被目标系统发现，他们会隐藏自己的攻击活动，使用加密技术来隐藏数据流量，以及删除攻击痕迹，使被攻击的企业很难察觉到攻击的存在。
4.多阶段攻击：APT攻击通常采用多阶段的攻击方式，攻击者会利用各种技术手段和漏洞逐步深入目标系统，从而实现对系统的完全控制。
这种攻击方式使得攻击者可以持续获取目标系统的敏感信息和权限，对企业造成更大的威胁。
APT对企业的影响APT攻击对企业的影响是巨大而深远的，以下是一些主要的影响方面：1.数据泄露：APT攻击通常旨在获取企业的敏感信息和商业机密，这些信息一旦泄露出去，将对企业造成巨大的损失。
泄露的信息可能包括客户数据、财务信息、研发成果等，这些都是企业核心竞争力的重要组成部分。
2.商誉损失：一旦企业受到APT攻击，其商誉和声誉将受到严重影响。
客户和合作伙伴对企业的信任将大幅度降低，这可能导致企业失去大量的客户和业务机会，进而导致企业的经济损失。
高级持续性威胁（APT）的检测与防范技术研究
高级持续性威胁（APT）的检测与防范技术研究摘要：高级持续性威胁（APT）作为网络安全领域的重要挑战，威胁着各行各业的信息资产和隐私。
本文旨在研究与APT检测与防范相关的关键技术，以帮助网络行业工作者更好地理解和应对这一威胁。
本文介绍了APT的定义和特征，探讨了不同的检测方法和防范策略，包括入侵检测系统（IDS）、行为分析、威胁情报分享和最佳实践。
通过深入分析这些技术，本文希望为网络行业提供更全面、有效的APT应对方案。
关键词：高级持续性威胁（APT）；网络安全；入侵检测系统（IDS）；行为分析；威胁情报；防范技术一、引言网络安全一直是当今数字时代最紧迫的挑战之一。
随着技术的不断进步和全球互联的加速发展，高级持续性威胁（Advanced Persistent Threats，简称APT）作为网络攻击的最高级别威胁之一，已经引起了广泛的关注和担忧。
APT攻击不仅对政府和企业机构的信息资产构成严重威胁，而且对个人的隐私也带来了巨大风险。
二、高级持续性威胁（APT）的定义与特征APT代表了网络安全领域中最为复杂和具有破坏性的威胁之一。
了解APT的定义与特征对于有效地识别和应对这些威胁至关重要。
第一，APT是“高级”的，这意味着攻击者拥有高度的技术能力和资源。
APT攻击者通常是由国家或有组织的黑客组成，他们具备深厚的计算机知识，能够开发出复杂的恶意软件和攻击工具。
这些攻击者通常能够巧妙地规避传统的安全防御机制，对目标系统进行高级渗透和持续监控。
第二，APT是“持续性”的，这表示攻击者的攻击不是一次性的事件，而是一个长期的过程。
攻击者通常会悄无声息地进入目标网络，随后长时间内持续存在，以获取更多的信息和权限。
这种持续性使得APT攻击特别难以察觉，因为攻击者会尽量避免引起警觉。
最后，APT是“隐蔽性”的。
攻击者会采用伪装手法，隐藏其活动，以防止被检测到。
他们可能使用先进的社交工程和钓鱼攻击，欺骗目标员工，或者使用未知的漏洞来渗透系统。
高级持续性威胁(APT)攻击如何防范与检测
高级持续性威胁（APT）攻击如何防范与检测在当前的信息化社会中，网络攻击事件屡见不鲜。
其中，高级持续性威胁（APT）攻击是一种具有较高危害性和长期持续性的攻击方式。
APT攻击旨在获取机密信息、破坏网络设施及侵犯网络安全，给企业和个人带来严重的损失。
因此，有效地防范和检测APT攻击显得尤为重要。
本文将探讨如何进行APT防范与检测。
一、构建防御体系为了有效防范APT攻击，我们首先需要构建一套完善的防御体系。
以下是一些关键的措施：1. 网络安全培训：为企事业单位员工进行网络安全培训，提高他们的网络安全意识和技能，让他们能够辨别并防范潜在的威胁。
2. 安全策略和政策：制定和实施严格的安全策略和政策，包括访问控制、密码管理、数据备份等。
定期审查和更新这些策略和政策，确保其符合最新的安全标准。
3. 强化网络边界防御：配置防火墙、入侵检测和防御系统、反病毒软件等，保护网络边界安全。
及时更新这些安全设备的规则和签名库，以识别和隔离潜在的威胁。
4. 加密与身份验证：对重要的数据进行加密保护，确保在传输和存储过程中不被窃取。
同时，采用双因素身份验证等措施，确保只有合法用户可以访问敏感信息。
二、实施安全监控与检测在防御体系的基础上，安全监控与检测是及时发现和应对APT攻击的重要手段。
以下是一些关键的措施：1. 安全事件日志管理：配置和管理安全设备的日志记录功能，收集保留网络和系统的日志信息。
通过对日志信息进行分析和监控，及时发现异常情况和攻击迹象。
2. 威胁情报分析：持续跟踪并分析来自可信渠道的威胁情报，包括APT攻击的最新特征和攻击方式。
通过将威胁情报与网络日志和事件进行关联分析，提高对潜在威胁的识别能力。
3. 行为分析与异常检测：利用高级的安全分析工具和技术，对网络和终端设备的行为进行实时监控和分析。
通过检测异常行为模式，可以及时发现APT攻击并采取相应的应对措施。
4. 网络流量监控与过滤：通过使用入侵检测系统和流量分析工具，实时监控和分析网络流量。
互联网安全威胁调研报告恶意软件和网络攻击的趋势分析
互联网安全威胁调研报告恶意软件和网络攻击的趋势分析互联网安全威胁调研报告：恶意软件和网络攻击的趋势分析在当今数字化时代，互联网已经成为人们日常生活和工作中不可或缺的一部分。
然而，随着互联网的普及和应用的广泛，网络安全威胁也日益增多。
本次调研报告旨在分析当前恶意软件和网络攻击的趋势，为人们提供更深入的了解和防范措施。
1. 恶意软件发展趋势恶意软件是指被设计用于非法获取、损坏计算机系统或个人信息的恶意程序。
近年来，恶意软件的发展呈现出以下趋势。
1.1. 隐蔽性增强恶意软件的制造者不断寻求更加隐蔽的方式来传播和运行。
例如，近年来出现的“越狱”软件，通过操纵系统权限，突破原本的限制，可能导致数据泄露和远程控制等风险。
1.2. 多样化攻击方式恶意软件的攻击方式也越来越多样化。
除了传统的病毒、蠕虫、木马等，如今还出现了勒索软件、广告软件等新型恶意软件。
勒索软件通过加密用户数据，并索要赎金来解密，给用户带来极大的经济损失。
2. 网络攻击趋势分析网络攻击是指攻击者利用漏洞或弱点，对特定目标实施的恶意行为。
以下是网络攻击的主要趋势。
2.1. 高级持续性威胁（APT）高级持续性威胁是指攻击者通过长期而复杂的手段，针对特定目标进行的攻击。
这类攻击通常采用定向攻击方式，攻击者通过渗透目标系统，获取敏感信息或控制目标系统。
这种攻击方式往往使用高度隐蔽的技术手段，难以被传统安全防护措施所发现。
2.2. 社会工程学攻击社会工程学攻击是指攻击者通过利用人们的信任心理，欺骗用户输入敏感信息或执行恶意操作。
这类攻击通常采用钓鱼邮件、假冒网站等手段，利用用户的关注点，迫使其泄露个人信息或执行恶意程序。
3. 防范措施面对日益增长的互联网安全威胁，我们需要采取一系列的防范措施来保护个人和组织的安全。
3.1. 安全意识培训加强安全意识培训是防范网络攻击和恶意软件的有效手段。
用户应通过学习掌握基本的网络安全知识，警惕社会工程学攻击，并定期更新密码、备份重要数据等。
apt 分析报告
分析报告：APT（高级持续性威胁）分析1. 引言APT（高级持续性威胁）是指那些利用高级技术手段进行攻击，并能够持续地渗透和控制目标系统的威胁活动。
本文将通过逐步的思考过程，从APT的概念、特征、常见攻击方式、检测与防范等方面，对APT进行分析。
2. APT的概念APT是一个广义的概念，一般用于描述那些高级、隐蔽和持久性的网络攻击活动。
与传统的网络攻击相比，APT更具有组织性、目标性和长期性。
APT的目标往往是政府机构、军事机构、金融机构和大型企业等拥有重要信息资产的组织。
3. APT的特征APT攻击具有以下几个特征： - 低调隐蔽：APT攻击者通常会采用高级的技术手段，如零日漏洞、社交工程等，以保持低调并避免被发现。
- 持久性：APT攻击者通过持续渗透目标系统，并控制关键节点，以确保长期的存在和操控能力。
- 高度组织化：APT攻击往往由高度组织化的团队执行，包括攻击者、开发者和后勤支持等角色。
- 针对性：APT攻击是有目标性的，攻击者会对目标进行精确的侦察和定制化的攻击策略。
4. APT的常见攻击方式APT攻击采用多种方式进行，其中常见的几种方式包括： - 零日漏洞利用：攻击者利用尚未被厂商修复的漏洞进行攻击，以绕过目标系统的防御机制。
- 社交工程：通过钓鱼邮件、诱导点击等方式，诱使目标用户提供敏感信息或下载恶意软件。
- 后门植入：攻击者通过植入后门程序，获取对目标系统的持久访问权限，并在需要时进行操控。
- 假冒认证：攻击者冒充合法用户或系统管理员，获取特权操作权限。
5. APT的检测与防范为了有效检测和防范APT攻击，可以采取以下措施： - 安全意识教育：加强员工的安全意识培训，提高对社交工程和钓鱼攻击的辨识能力。
- 持续监测和日志分析：建立完善的安全监测系统，对网络流量和系统日志进行实时监控和分析，及时发现异常活动。
- 漏洞管理和补丁更新：定期对系统和应用程序进行漏洞扫描，及时修复和更新相关的补丁。
高级持续性威胁(APT)的网络防御
高级持续性威胁（APT）的网络防御随着互联网的快速发展和信息化的深入推进，网络安全已经成为一个全球性的话题。
在网络安全领域中，高级持续性威胁（Advanced Persistent Threat，简称APT）是一种恶意攻击方式，威胁着企业和个人的网络安全。
本文将探讨高级持续性威胁的概念、特点以及网络防御的方法。
一、高级持续性威胁（APT）的概念高级持续性威胁（APT）是一种由高度有组织的黑客团队或国家背后支持的攻击方式，通常目标是获取对特定信息的长期访问权限。
APT攻击的特点是持续性、隐蔽性和针对性。
攻击者不断调整和改进攻击手法，以应对新的安全策略和技术。
二、高级持续性威胁（APT）的特点1. 持续性：APT攻击通常是长期进行的，攻击者会在网络中建立后门程序，以隐蔽地持续获取信息。
2. 隐蔽性：APT攻击的目标是尽量减少被发现的风险，攻击者会使用高度隐蔽的方式入侵目标系统，并通过多种手段进行信息窃取。
3. 针对性：APT攻击针对特定目标，攻击者会针对目标系统的弱点和漏洞进行攻击，以获取目标信息。
三、高级持续性威胁（APT）的网络防御方法1. 建立完善的网络安全策略：企业和个人应该建立健全的网络安全策略，制定相应的网络安全政策和操作指南，以保护自身网络免受APT攻击的威胁。
2. 加强入侵检测与阻断系统：安装入侵检测与阻断系统（Intrusion Detection and Prevention System，简称IDPS），及时监测和阻断可疑的网络活动，防止攻击者进一步入侵和进行信息窃取。
3. 提升员工网络安全意识：培训员工，提高他们的网络安全意识，教育他们如何处理可疑邮件、短信和网页链接，避免点击恶意链接或下载可疑附件。
4. 及时打补丁和升级系统：APT攻击通常利用系统漏洞进行入侵，因此及时打补丁和升级系统是重要的防御手段。
企业和个人应该定期更新系统补丁，以修复已知漏洞，提高系统的安全性。
5. 数据加密和访问控制：加强对敏感数据的保护，采用加密技术对重要数据进行加密存储和传输，同时设置严格的访问控制策略，限制对敏感数据的访问权限。
apt 分析报告
APT 分析报告背景介绍高级持续性威胁（Advanced Persistent Threat, APT）是一种高级的网络攻击，通常是由高度组织化的黑客组织或国家级攻击者所发起的。
APT攻击旨在长期潜伏于目标系统中，并通过多种手段进行信息窃取、网络破坏或间谍活动。
攻击目标本次APT分析报告旨在分析一起特定目标的APT攻击事件。
由于保密原因，我们无法透露具体目标的名称，但我们将对攻击行为、攻击者所使用的工具和技术以及可能的防御措施进行详细分析。
攻击行为分析钓鱼邮件APT攻击通常以钓鱼邮件作为初始入口。
攻击者伪装成合法的发送者，通过发送诱人的邮件来引诱目标用户点击恶意链接或打开恶意附件。
钓鱼邮件的内容经过精心设计，常常是针对目标用户的特定兴趣或工作领域，以增加诱惑力。
恶意软件传播一旦目标用户点击了恶意链接或打开了恶意附件，恶意软件将被植入目标系统。
攻击者使用各种不同的恶意软件，包括远程访问工具（Remote Access Tools, RATs）和键盘记录器等，以获取对目标系统的完全控制权。
这些恶意软件往往具有高度隐蔽性和逃避检测的能力。
横向渗透一旦攻击者获取了目标系统的控制权，他们会利用横向渗透的技巧，进一步扩大攻击范围。
他们会在内部网络中寻找其他易受攻击的系统，并尝试使用相同的攻击方式进行入侵。
这种方式可以使攻击者更好地隐藏自己的身份和活动，同时也增加了防御的困难度。
数据窃取和网络破坏一旦攻击者成功渗透到目标系统中，他们将寻找有价值的信息并进行窃取。
这些信息可能包括商业机密、客户数据、财务数据等。
在某些情况下，攻击者还可能利用已入侵的系统进行网络破坏，比如勒索软件攻击或拒绝服务攻击。
攻击者工具和技术分析木马软件APT攻击中常见的一种恶意软件是木马软件。
木马软件可以在目标系统中植入后门，使攻击者能够远程执行命令并控制系统。
木马软件通常具有良好的隐藏性和免疫性，能够避免常规的安全检测和防御。
远程访问工具远程访问工具（Remote Access Tools, RATs）是一种用于远程控制目标计算机的工具。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
南亚
7
Lazarus、寄生兽（DarkHotel）、
响尾蛇（SideWinder）
东南
白象（Hangover）、海莲花、寄生兽（DarkHotel）、Reaper
4
亚
（APT37）
西亚
3
商贸信、污水（MuddyWater）、人面马（APT34）
欧洲
2
商贸信、寄生兽（DarkHotel）
北美
4
商贸信、Lazarus、寄生兽（DarkHotel）、人面马（APT34）
3. 中国国际影响力提升，针对中国的 APT 攻击增多 随着中国在全球化进程中影响力的不断增长，中国政府、企业及民间机构与世界各
国联系的不断增强，中国已成为跨国 APT 组织的重点攻击目标。 2018 年上半年，白象（Hangover）、海莲花、寄生兽（DarkHotel）、 蔓灵花等
境外 APT 组织对中国境内发起过多次攻击，鱼叉邮件加漏洞文档的精准投放是 APT 组 织的最常用的手段，各种与中国有关的政治、军事色彩的诱饵文档在中国境内多次出发 现。比如白象（Hangover）APT 组织使用名为《中国安全战略报告 2018》的 CVE2017-8570 漏洞文档对中国进行攻击。
中东多国政府组织，沙特、卡塔尔、阿 联酋、土耳其、科威特、以色列、黎巴 嫩和美国 中东
中东国家、巴基斯坦，沙特阿拉伯，阿 联酋和伊拉克
韩国、美国进行渗透攻击、孟加拉国 中国、东南亚国家 朝鲜、俄罗斯、韩国、日本、孟加拉国、 泰国、中国、中国台湾、美国、印度、 莫桑比克、印度尼西亚和德国。
南亚国家
韩国 韩国、日本、越南和中东
除此之外，腾讯御见威胁情报中心还捕获了 APT 组织使用的两个 0Day 漏洞，它 们分别是 CVE-2018-0802（Office 公式编辑器高危漏洞）和 CVE-2018-5002（Flash 高危漏洞）。
APT 组织的攻击是十分高深、十分隐秘和不易觉察的，但随着各种攻击技术以及漏 洞挖掘技术的公开，以及安全软件自身数据分析能力的积累，APT 组织的攻击轨迹正一 步步被专业安全厂商揭开面纱。
比较有名的事件比如奇幻熊（APT28）利用大型僵尸网络 VPNFilter 感染了全球超 过 50 万台路由器和 NAS 设备。
奇幻熊（APT28）是一个长期从事网络间谍活动并与俄罗斯军方情报机构相关的 APT 组织，追溯该组织的历史攻击活动可以发现，获取国家利益一直是该组织的主要攻 击目的。据国外安全公司报道，该组织最早的攻击活动可以追溯到 2004 年至 2007 年 期间。
东非
1
寄生兽（DarkHotel）
中东
3
人面马（APT34）、奇幻熊（APT28）、Reaper（APT37）
2018 年上半年主要 APT 组织的活跃地区（国家分布）
APT 组织名称
疑似 APT 组织所在国 受攻击的国家和地区
家
蔓灵花
未知
中国、印度、巴基斯坦
商贸信
尼日利亚
美国、俄罗斯、中国、印度、巴基斯坦、
（白象（Hangover）APT 组织使用的漏洞攻击文档） 4. 五月、六月间的 APT 组织攻击行为最为频发
五、六月份是 APT 组织在今年上半年攻击最频繁的时期。韩国 APT 组织寄生兽 （DarkHotel）、朝鲜 APT 组织 Lazarus、俄罗斯 APT 组织奇幻熊（APT28）、以及疑 似越南 APT 组织海莲花等都在此阶段十分活跃。
2018 年上半年主要 APT 组织的活跃地区（洲际分布）
针对该地区的
地区 APT 组织个
活跃在该地区的 APT 组织
数
东亚
蔓灵花、商贸信、Lazarus、海莲花、寄生兽（DarkHotel）、 7
OlympicDestroyer、Reaper（APT37）
蔓灵花、商贸信、白象（Hangover）、污水（MuddyWater）、
导言
腾讯御见威胁情报中心高级持续性威胁（APT）研究小组在对全球范围内的 APT 组 织进行长期深入的跟踪和分析过程中发现，2018 年上半年活跃的已命名 APT 组织主要 有 14 个，它们分别是蔓灵花、商贸信、白象（Hangover）、人面马（APT34）、奇幻熊 （ APT28 ）、 污 水 （ MuddyWater ）、 Lazarus 、 海 莲 花 （ OceanLotus ）、 寄 生 兽 （DarkHotel）、响尾蛇（SideWinder）、OlympicDestroyer、Reaper（APT37）、 Slingshot、穷奇。
电力 工业 科研 军事
化工 电信
1
商贸信
6
蔓灵花、商贸信、污水（MuddyWater）、寄生
兽（DarkHotel）、奇幻熊（APT28）、人面马
（APT34）
3
人 面 马 （ APT34 ）、 污 水 （ MuddyWater ）、
Lazarus
1
奇幻熊（APT28）
6
蔓 灵 花 、 商 贸 信 、 人 面 马 （ APT34 ）、 污 水
（MuddyWater）、Lazarus、海莲花
2
蔓灵花、OlympicDestroyer
3
蔓灵花、商贸信、Reaper（APT37）
2
白象（Hangover）、海莲花
4
白象（Hangover）、奇幻熊（APT28）、响尾蛇
（SideWinder）、寄生兽（DarkHotel）
2
人面马（APT34）、Reaper（APT37）
4
人 面 马 （ APT34 ）、 污 水 （ MuddyWater ）、
酒店 航空
Reaper（APT37）、寄生兽（DarkHotel）
2
奇幻熊（APT28）、寄生兽（DarkHotel）
1
人面马（APT34）
2. 亚洲国家是 APT 组织攻击的主要地域目标
统计分析 2018 年上半年 APT 组织在各地区的活跃情况后，可以看出，在亚洲 11 个，分别是蔓灵花、商贸信、白象（Hangover）、污水（MuddyWater）、Lazarus、海 莲花、寄生兽（DarkHotel）、OlympicDestroyer、响尾蛇（SideWinder）、Reaper （APT37）、人面马（APT34）；北美 4 个，分别是商贸信、Lazarus、寄生兽（DarkHotel）、 人面马（APT34）；中东 3 个，分别是人面马（APT34）、奇幻熊（APT28）、Reaper （APT37）；欧洲 2 个，分别是商贸信、寄生兽（DarkHotel）；非洲只有 1 个寄生兽 （DarkHotel）。可以看到，同一 APT 组织在全球范围内都有所活跃，亚洲国家是 APT 组织攻击的主要地域目标；其中，位于东亚的中国是受 APT 组织攻击影响严重的国家。
描述 APT 组织的活动规律，就像完成一张复杂的拼图，安全厂商的监测系统可能 捕捉到 APT 组织活动的一个局部，通过数据分析，将这些零散的局部特征拼接成大致 完整的图像。
APT 组织攻击的目的主要有获取国家利益、某种政治目的、窃取政府及商业机构 的数字情报及核心技术、干扰或破坏某些敌对目标的基础设施等等。随着社会的发 展，APT 组织攻击方式方法也不断被披露，面向民用系统或商业机构的 APT 攻击不断 涌现，APT 攻击的目标正在平民化，离普通人也越来越近了。
一、APT 组织的攻击主要特点 1. 国家机关和能源企业是 APT 组织攻击的行业分布之首
从上半年 APT 组织攻击的行业分布来看，政府依然是 APT 组织最为关注的目标 （占 16%）。除政府之外，能源（16%）、军事（11%）、电信（11%）、、金融（8%）、 工业（8%）等领域是受 APT 组织攻击的重灾区，同时可以看出 APT 组织的重点目标 是与国计民生密切相关的高价值目标。以上类型行业依赖于互联网提供的基础设施，又 相对缺乏专业的安全运维，一旦遭受到攻击，将会使机密数据资料泄露，进而可能被挖 矿，遭受利益损失，给政府、机构、企业、个人带来严重的安全威胁，后果严重。
腾讯安全 2018 上半年高级持续性威胁（APT）研究报告
目录 一、 APT 组织的攻击主要特点................................................................................ 4
1. 国家机关和能源企业是 APT 组织攻击的行业分布之首 ...............................................4 2. 亚洲国家是 APT 组织攻击的主要地域目标 .....................................................................6 3. 中国国际影响力提升，针对中国的 APT 攻击增多........................................................8 4. 五月、六月间的 APT 组织攻击行为最为频发.................................................................9 二、 APT 组织的攻击技术特点.............................................................................. 11 1. APT 组织偏爱利用漏洞攻击，占所有攻击技术的 60%.............................................12 2. 用户对 Office 文档基本功能不了解误使恶意代码运行 .............................................15 3. APT 组织为躲避杀毒软件检测使用脚本攻击................................................................17 三、 APT 组织的攻击渠道特点.............................................................................. 18 1. APT 组织擅长使用命中率极高的鱼叉攻击伪造邮件，渠道使用占比最高 ...........19 2. APT 组织利用开源代码隐藏木马代码躲避检测，从而使用漏洞攻击 ....................20 3. APT 组织在目标可能出现之处利用水坑攻击守株待兔 ..............................................21 四、 安全建议 ...................................................................................................... 21 1. 防御社会工程学欺骗 ............................................................................................................21 2. 部署完善安全保护措施........................................................................................................22 五、 结语 ............................................................................................................. 23