Ameaça persistente avançada
Uma ameaça persistente avançada é uma ameaça furtiva à segurança cibernética, tipicamente manipulada por um Estado ou por um grupo patrocinado por um Estado, que ganha acesso não autorizado a uma rede de computadores e permanece não detectada por um longo período. Em tempos recentes, o termo também pode se referir a grupos não patrocinados por Estados que realizam intrusões direcionadas em larga escala para fins específicos.
As definições do que é precisamente uma APT podem variar, mas podem ser resumidas pelos requisitos de seu próprio nome a seguir:
Avisos contra e-mails de engenharia social direcionados contendo cavalos de Tróia para exfiltrar informações confidenciais foram publicados por organizações CERT do Reino Unido e dos EUA em 2005. Esse método foi usado ao longo do início dos anos 1990 e não constitui, por si só, uma APT. O termo "ameaça persistente avançada" é citado como tendo origem na Força Aérea dos Estados Unidos em 2006, com o coronel Greg Rattray citado como o indivíduo que cunhou o termo. O worm Stuxnet, que teve como alvo o hardware de computador do programa nuclear do Irã, é um exemplo de ataque por APT. Neste caso, o governo iraniano pode considerar os criadores do Stuxnet como uma ameaça persistente avançada.[carece de fontes]? Dentro da comunidade de segurança de computadores e, cada vez mais, dentro da mídia, o termo é quase sempre usado em referência a um padrão de longo prazo de exploração sofisticada de redes de computadores voltado para governos, empresas e ativistas políticos, e por extensão, também para atribuir os atributos A, P e T aos grupos por trás desses ataques. O termo ameaça persistente avançada (APT) pode estar mudando de foco para a invasão baseada em computadores devido ao crescente número de ocorrências. A PC World relatou um aumento de 81% de 2010 para 2011 em ataques de computadores direcionados e particularmente avançados.
Os atores por trás de ameaças persistentes avançadas criam um risco crescente e dinâmico aos ativos financeiros, à propriedade intelectual e à reputação das organizações seguindo um processo contínuo ou cadeia de destruição (kill chain): Em 2013, a Mandiant apresentou os resultados de suas pesquisas sobre supostos ataques chineses usando o método APT entre 2004 e 2013 que seguiam um ciclo de vida semelhante: Nos incidentes analisados pela Mandiant, o período médio durante o qual os atacantes controlaram a rede da vítima foi de um ano, sendo o mais longo de quase cinco anos. As infiltrações foram supostamente realizadas pela Unidade 61398 do Exército de Libertação Popular, sediada em Xangai. Autoridades chinesas negaram qualquer envolvimento nesses ataques. Relatórios anteriores da Secdev já haviam descoberto e implicado atores chineses.
Existem dezenas de milhões de variações de malwares, o que torna extremamente desafiador proteger as organizações contra APTs. Embora as atividades de APT sejam furtivas e difíceis de detectar, o tráfego de rede de comando e controle associado à APT pode ser detectado no nível da camada de rede com métodos sofisticados. Análises profundas de logs e correlação de logs de várias fontes têm utilidade limitada na detecção de atividades de APT. É um desafio separar os ruídos do tráfego legítimo. A tecnologia e os métodos tradicionais de segurança têm se mostrado ineficazes na detecção ou mitigação de APTs. A defesa cibernética ativa tem produzido maior eficácia na detecção e persecução de APTs (encontrar, fixar, finalizar) ao aplicar inteligência de ameaças cibernéticas em atividades de caça e busca de adversários. As Vulnerabilidades Cibernéticas Introduzidas por Humanos (HICV) constituem um elo cibernético fraco que não é bem compreendido nem mitigado, representando um vetor de ataque significativo.
Múltiplas organizações podem atribuir nomes diferentes ao mesmo agente de ameaça. Como pesquisadores independentes podem ter suas próprias avaliações variáveis sobre um grupo APT, empresas como CrowdStrike, Kaspersky, Mandiant e Microsoft, entre outras, possuem seus próprios esquemas internos de nomenclatura. Os nomes atribuídos por diferentes organizações podem se referir a grupos que se sobrepõem, mas que são fundamentalmente distintos, com base nos dados coletados. A CrowdStrike atribui animais com base no estado-nação ou em outra categoria, como "Kitten" (gatinho) para o Irã e "Spider" (aranha) para grupos focados em cibercrime. Outras empresas nomearam grupos com base nesse sistema — o Rampant Kitten, por exemplo, foi nomeado pela Check Point, e não pela CrowdStrike. A Dragos baseia os nomes dos grupos APT em minerais. A Mandiant atribui siglas numeradas em três categorias: APT, FIN e UNC, resultando em nomes como FIN7. Outras empresas que usam um sistema semelhante incluem a Proofpoint (TA) e a IBM (ITG e Hive).
