Wat is een geavanceerde aanhoudende dreiging en hoe kan een APT worden gedetecteerd?

Veel bedrijven doen hun best om zoveel mogelijk gegevens over klanten te verzamelen. Sommigen geven hun producten zelfs gratis weg in ruil voor de toestemming om persoonlijke informatie te verzamelen.

Als gevolg hiervan hebben zelfs kleinere bedrijven nu een schat aan waardevolle gegevens. En steeds meer dreigingsactoren zoeken naar manieren om het te stelen. Een voorbeeld hiervan is een type cyberaanval dat bekend staat als een geavanceerde aanhoudende dreiging.

Dus wat is een geavanceerde aanhoudende dreiging? Hoe herken je er een? En wat moet je doen als je denkt dat je systeem is getroffen door een APT?

Wat is een geavanceerde aanhoudende dreiging (APT)?

Een geavanceerde aanhoudende dreiging is een type aanval waarbij een indringer toegang krijgt tot een systeem en er vervolgens voor een lange tijd onopgemerkt blijft.

Dit type aanval wordt doorgaans uitgevoerd met als doel spionage. Als het doel was om simpelweg een systeem te beschadigen, zou er geen reden zijn om te blijven hangen. De mensen die deze aanvallen uitvoeren, proberen geen computersystemen te vernietigen. Ze willen gewoon toegang tot de gegevens waarover ze beschikken.

De meeste geavanceerde aanhoudende dreigingen maken gebruik van geavanceerde hacktechnieken en zijn afgestemd op individuele computersystemen.

Dit maakt deze aanvallen erg moeilijk te detecteren. Maar een voordeel van hun complexiteit is dat de gemiddelde computergebruiker zich er gewoonlijk geen zorgen over hoeft te maken.

In tegenstelling tot malware die over het algemeen is ontworpen om zoveel mogelijk computers te targeten, worden geavanceerde aanhoudende dreigingen meestal ontworpen met een specifiek doel in gedachten.

Hoe gebeurt een APT?

De geavanceerde aanhoudende dreiging is een relatief brede term. Het niveau van verfijning dat bij een dergelijke aanval wordt gebruikt, varieert daarom sterk.

De meeste kunnen echter gemakkelijk worden onderverdeeld in drie verschillende fasen.

Fase 1: infiltratie

In de openingsfase zoeken hackers gewoon een manier om binnen te komen. De beschikbare opties zullen uiteraard afhangen van hoe veilig het systeem is.

Een optie zou phishing zijn. Misschien kunnen ze iemand ertoe brengen om per ongeluk hun inloggegevens te onthullen door ze een kwaadaardige e-mail te sturen. Of als dat niet mogelijk is, proberen ze misschien hetzelfde te bereiken via social engineering.

Fase 2: uitbreiding

De volgende stap is uitbreiding. Zodra de aanvallers een geldige toegang tot het systeem hebben, zullen ze hun bereik willen vergroten en er waarschijnlijk voor zorgen dat hun bestaande toegang niet kan worden ingetrokken.

Ze zullen dit meestal doen met een of ander type malware. Met een keylogger kunnen ze bijvoorbeeld extra wachtwoorden voor andere servers verzamelen.

Verwant: Wat is een keylogger?

En een Trojaans paard op de achterdeur garandeert toekomstige inbraken, zelfs als het oorspronkelijke gestolen wachtwoord wordt gewijzigd.

Fase 3: extractie

Tijdens de derde fase is het tijd om daadwerkelijk gegevens te stelen. Informatie wordt doorgaans verzameld van meerdere servers en vervolgens op één locatie gedeponeerd totdat deze kan worden opgehaald.

Op dit punt kunnen de aanvallers proberen de systeembeveiliging te overweldigen met zoiets als een DDOS-aanval. Aan het einde van deze fase worden de gegevens daadwerkelijk gestolen en, als ze niet worden opgemerkt, wordt de deur opengelaten voor toekomstige aanvallen.

Waarschuwingssignalen van een APT

Hoewel een APT doorgaans specifiek is ontworpen om detectie te voorkomen, is dit niet altijd mogelijk. Meestal zullen er op zijn minst enig bewijs zijn dat een dergelijke aanval plaatsvindt.

Speervissen

Een spear phishing-e-mail kan een teken zijn dat een APT op het punt staat plaats te vinden of zich in een vroeg stadium bevindt. Phishing-e-mails zijn bedoeld om zonder onderscheid gegevens van grote hoeveelheden mensen te stelen. Spear phishing-e-mails zijn aangepaste versies die zijn afgestemd op specifieke mensen en / of bedrijven.

Verdachte aanmeldingen

Tijdens een lopende APT zal de aanvaller waarschijnlijk regelmatig inloggen op uw systeem. Als een legitieme gebruiker plotseling op oneven uren inlogt op zijn account, kan dit een teken zijn dat zijn inloggegevens zijn gestolen. Andere tekenen zijn onder meer dat u vaker inlogt en naar dingen kijkt die ze niet zouden moeten zijn.

Trojaanse paarden

Een Trojaans paard is een verborgen applicatie die, eenmaal geïnstalleerd, externe toegang tot uw systeem kan bieden. Dergelijke applicaties kunnen een nog grotere bedreiging vormen dan gestolen inloggegevens. Dit komt omdat ze geen voetafdruk achterlaten, d.w.z. er is geen inloggeschiedenis die u kunt controleren, en ze worden niet beïnvloed door wachtwoordwijzigingen.

Ongebruikelijke gegevensoverdrachten

Het grootste teken van een APT is simpelweg dat gegevens plotseling worden verplaatst, schijnbaar zonder duidelijke reden. Dezelfde logica is van toepassing als u ziet dat gegevens worden opgeslagen waar ze niet zouden moeten zijn, of erger nog, tijdens de overdracht naar een externe server buiten uw controle.

Wat te doen als u een APT vermoedt

Zodra een APT is gedetecteerd, is het belangrijk om snel te handelen. Hoe meer tijd een aanvaller in uw systeem heeft, hoe groter de schade die kan optreden. Het is zelfs mogelijk dat uw gegevens nog niet zijn gestolen, maar op het punt staan ​​te worden gestolen. Hier is wat u moet doen.

1. Stop de aanval: De stappen voor het stoppen van een APT hangen grotendeels af van de aard ervan. Als u denkt dat slechts een deel van uw systeem is gecompromitteerd, moet u beginnen met het isoleren van al het andere. Werk daarna aan het verwijderen van toegang. Dit kan betekenen dat u gestolen inloggegevens moet intrekken of, in het geval van een Trojaans paard, uw systeem moet opschonen.
2. Beoordeel de schade: De volgende stap is om erachter te komen wat er is gebeurd. Als u niet begrijpt hoe de APT tot stand is gekomen, is er niets om het opnieuw te laten gebeuren. Het is ook mogelijk dat er momenteel een soortgelijke dreiging aan de gang is. Dit betekent het analyseren van systeemgebeurtenislogboeken of eenvoudigweg de route uitzoeken die een aanvaller heeft gebruikt om toegang te krijgen.
3. Derde partijen op de hoogte stellen: Afhankelijk van welke gegevens op uw systeem zijn opgeslagen, kan de schade die wordt veroorzaakt door een APT groot zijn. Als u momenteel gegevens opslaat die niet alleen van u zijn, d.w.z. de persoonlijke gegevens van klanten, klanten of werknemers, moet u die mensen mogelijk op de hoogte stellen. In de meeste gevallen kan het nalaten hiervan een juridisch probleem worden.

Ken de tekenen van een APT

Het is belangrijk om te begrijpen dat volledige bescherming niet bestaat. Menselijke fouten kunnen ertoe leiden dat elk systeem wordt aangetast. En deze aanvallen gebruiken per definitie geavanceerde technieken om dergelijke fouten te misbruiken.

De enige echte bescherming tegen een APT is daarom te weten dat ze bestaan ​​en te begrijpen hoe de tekenen ervan kunnen worden herkend.

Wat is adaptieve beveiliging en hoe helpt het bij bedreigingspreventie?

Adaptieve beveiliging, een real-time beveiligingsmonitoringsmodel, maakt gebruik van moderne tactieken om steeds veranderende cyberdreigingen te beperken.

Lees Volgende

Over de auteur