Czym są grupy APT?
APT to zaawansowane, długotrwałe kampanie cyberataków prowadzone przez dobrze zorganizowane grupy, często powiązane bezpośrednio lub pośrednio z państwami. ENISA wskazuje, że ich działania są ukierunkowane na cele strategiczne, a nie na szybki zysk finansowy.
Charakterystyczną cechą APT jest cierpliwość. Atakujący potrafią przez miesiące, a nawet lata pozostawać niezauważeni w systemach ofiary, stopniowo rozszerzając swoje uprawnienia i zakres dostępu.
Cyberespionage jako główny cel ataków
Raport ENISA podkreśla, że głównym celem działań APT wobec administracji publicznej jest cyberespionage, czyli cyberwywiad. Obejmuje on nieautoryzowane pozyskiwanie informacji politycznych, gospodarczych, militarnych oraz danych dotyczących bezpieczeństwa państwa.
Szczególnie narażone są instytucje centralne, ministerstwa, organy regulacyjne oraz podmioty odpowiedzialne za infrastrukturę krytyczną i politykę międzynarodową.
Jak działają grupy APT?
ENISA wskazuje, że ataki APT rzadko zaczynają się od spektakularnych działań. Najczęściej wykorzystują one znane, ale niezałatane podatności, phishing ukierunkowany na konkretnych urzędników oraz kompromitację łańcucha dostaw.
- ✓ precyzyjny spear phishing i socjotechnika,
- ✓ wykorzystywanie podatności zero-day i N-day,
- ✓ eskalacja uprawnień i ruch boczny w sieci,
- ✓ utrzymywanie trwałego dostępu (persistence).
Dlaczego APT są tak trudne do wykrycia?
Ataki APT są projektowane tak, aby nie zakłócać normalnego działania systemów. Wiele działań przypomina legalną aktywność użytkowników lub administratorów, co znacząco utrudnia ich wykrycie przy użyciu standardowych narzędzi bezpieczeństwa.
ENISA zwraca uwagę, że brak zaawansowanego monitoringu, analiz behawioralnych i zespołów reagowania powoduje, iż wiele instytucji publicznych dowiaduje się o kompromitacji dopiero po długim czasie.
Wnioski dla administracji publicznej
Działania państwowych grup APT pokazują, że administracja publiczna musi przygotować się na zagrożenia o charakterze strategicznym, a nie wyłącznie operacyjnym. Cyberbezpieczeństwo staje się elementem polityki bezpieczeństwa państwa.
W kontekście NIS 2 kluczowe znaczenie mają: ciągłe zarządzanie ryzykiem, monitoring bezpieczeństwa, wymiana informacji o zagrożeniach oraz zdolność do szybkiej reakcji na incydenty o charakterze wywiadowczym.
Źródło: ENISA, ENISA Sectorial Threat Landscape – Public Administration
