高級持續性威脅攻擊, 簡稱APT攻擊，也被稱為定向威脅攻擊，它是指利用各種先進的攻擊手段，對高價值目標進行的有組織、長期持續性網絡攻擊行為。APT攻擊需要長期經營與策劃，才可能取得成功，因此具有極強的隱蔽性和針對性。

它往往不會追求短期的經濟收益和單純的系統破壞，而是專注于步步為營的系統入侵。該類網絡攻擊是以商業和政治為目的的一個網絡犯罪類別。

APT攻擊的特征，APT攻擊每一步都要達到一個目標，不會做其他多余的事來打草驚蛇。因此，它具有以下五個特征：高目的性，攻擊目標是擁有高價值敏感數據的高級用戶，特別是可能影響到國家和地區政治等領域的高級別敏感數據持有者、 甚至各種工業控制系統。高隱蔽性，APT攻擊存在于組織內部，已經與被攻擊對象的可信程序漏洞與業務系統漏洞進行了融合，不易被發現。

高危害性，APT攻擊的持續時間長，攻擊和威脅可能在用戶環境中存在一年以上。組織嚴密，攻擊者通常由熟練黑客形成團體，分工協作。他們在經濟和技術上都擁有充足的資源，具備長時間專注APT研究的條件和能力。間接攻擊，APT攻擊通常利用第三方網站或服務器作跳板，布設惡意程序或木馬向目標進行滲透攻擊。

APT攻擊的入侵途徑，APT攻擊通常通過以下六種途徑入侵到目標網絡中：1、通過SQL注入等攻擊手段突破面向外網的Web Server；2、通過被入侵的Web Server做跳板，對內網的其他服務器或桌面終端進行掃描，并為進一步入侵做準備；3、通過密碼爆破或者發送欺詐郵件，獲取管理員帳號，并最終突破AD服務器或核心開發環境。

4、被攻擊者的私人郵箱自動發送郵件副本給攻擊者；5、通過植入惡意軟件，如木馬、后門、Downloader等惡意軟件，回傳大量的敏感文件（WORD、PPT、PDF、CAD文件等）；6、通過高層主管郵件，發送帶有惡意程序的附件，誘騙員工點擊并入侵內網終端。

APT攻擊的攻擊步驟，APT攻擊可以大致分為探測期、入侵期、潛伏期、退出期4個階段。

第一階段為探測期，主要進行信息收集，攻擊者使用技術和社會工程學手段收集大量關于系統業務流程和使用情況等關鍵信息，通過整理和分析，得出系統可能存在的安全弱點。同時收集漏洞、編制木馬程序、制訂攻擊計劃，為下一階段的攻擊做準備。

第二階段為入侵期，發動初始攻擊，命令和控制，攻擊者利用Oday漏洞，通過郵件、U盤、惡意網頁等方式，向目標投遞攻擊載荷。木馬程序反向連接到命令和控制服務器，等待接收來自攻擊者的控制指令。

第三階段為潛伏期，發動后續攻擊，進行橫向滲透，回傳資料，攻擊者成功入侵目標網絡后，隱藏自身尋找實施進一步行動的最佳時機。利用被控制的內部計算機作為跳板機，向單位內部進行全面滲透。

第四階段為退出期，進行痕跡清理，APT攻擊的目的達成后，APT代碼需要對其在目標網絡中存留的痕跡進行銷毀（將滯留過的主機進行狀態還原，并恢復網絡配置參數，清除系統日志數據），使事后電子取證分析和責任認定難以進行。

APT攻擊的防范方式，1、使用威脅情報。企業必須確保情報的相關性和及時性。2、建立強大的出口規則。除網絡流量（必須通過代理服務器）外，阻止企業的所有出站流量，阻止所有數據共享和未分類網站。阻止SSH、FTP、Telnet或其他端口和協議離開網絡。這可以打破惡意軟件到C2主機的通信信道，阻止未經授權的數據滲出網絡。

3、企業應該收集和分析對關鍵網絡和主機的詳細日志記錄以檢查異常行為。4、聘請安全分析師。安全分析師的作用是配合威脅情報、日志分析以及提醒對APT的積極防御。5、企業要加強員工的安全意識，例如禁止瀏覽危險網站，禁止查閱不明郵件或程序等。

6、針對特定的APT攻擊方式，采用傳統的被動防御方法，即使用高防御的病毒防護軟件。7、采用主動防御方法，基于程序行為自主分析判斷的實時防護技術，能夠有效解決傳統防御方法的弊端，例如使用了誘騙技術的沙箱技術和蜜罐技術。