APT高级持续性威胁是什么？主流攻击组织、态势与纵深防御解析

一、什么是APT

高级持续性威胁（Advanced Persistent Threat，简称 APT），美国国家标准与技术研究院（NIST）给出了一个相当严谨的定义：

一个拥有高水平专业知识和充足资源的对手，通过使用多种不同的攻击载体（如网络、物理和欺骗），创造机会以实现其目标——通常是在组织的 IT 基础设施中建立并扩展其存在，以持续窃取信息，或削弱、阻碍某任务、项目或组织的关键方面。

这个定义可以拆解成四个关键词：

要素	含义
高级	攻击者拥有专业的技术能力和充足的资源，能够使用多种攻击手段
持续性	攻击不是一次性的，而是在很长的时间段内反复进行，并能适应防御措施
威胁	攻击有明确目的，由组织化、有计划的团队执行，不是个人行为
定向	攻击目标明确，不是为了广撒网，而是针对特定组织或系统

简单来说：一群技术顶尖的人，花很长时间，用尽办法，去偷或者破坏一个特定目标的东西。

这和传统网络攻击有本质区别：

传统攻击者像小偷，撬开门锁拿走值钱的东西就跑，停留时间短；APT 攻击者则像间谍，潜入后可能潜伏数月甚至数年，研究环境、等待时机、持续窃取。

主包以前也搞混过，被经理狠狠训了一顿。其实 APT 就是有组织、有预谋的入侵。跟 APT 比起来，普通的小黑客基本是抱着恶作剧、作秀的目的，根本不在乎会不会被人发现，目的也只是拿到 shell，基本就没有然后了。而 APT 是为了长期潜伏起来，不断地窃取信息，类似间谍一样的角色。

二、较出名的APT组织

以下信息均来自网络，主包没有逐一核实，大家围观即可，别拿来当作正式参考。

Sandworm（沙虫/APT44）：俄罗斯背景，与俄总参谋部情报总局（GRU）74455 部队有关联，以破坏性攻击和擦除软件著称，曾造成乌克兰 23 万人停电。

APT28（Fancy Bear/Pawn Storm/Sofacy/Forest Blizzard）：俄罗斯背景，与 GRU 26165 部队有关联，活跃超过 20 年，涉嫌 2016 年美国大选干涉、德国议会攻击等。

Lazarus Group（Hidden Cobra/APT-C-26）：朝鲜背景，至少从 2009 年开始活跃，制造 WannaCry 勒索病毒、索尼影业攻击，累计窃取约 100 亿美元。

Equation Group（方程式组织）：美国背景（疑似 NSA），卡巴斯基 2015 年披露，拥有最复杂的攻击装备库，开发了震网（Stuxnet）、火焰（Flame）等武器。

APT29（Cozy Bear/The Dukes）：俄罗斯背景（疑似与 SVR 有关联），以 stealthy 鱼叉式钓鱼和云服务滥用著称，曾入侵美国民主党全国委员会。

Kimsuky（APT-C-55/Mystery Baby）：朝鲜背景，2013 年由卡巴斯基首次发现，专注朝鲜半岛政治外交、核问题情报窃取。

TA444（APT37/ScarCruft/Reaper）：朝鲜背景，擅长利用云服务（Dropbox、Yandex）作为 C2 服务器，关注韩国及全球外交机构。

OilRig：伊朗背景，自 2016 年起活跃，主要针对中东地区政府、金融、能源领域，擅长利用合法工具进行隧道通信。

DarkHotel：背景不明（被认为与东亚某国有关），至少从 2007 年开始活跃，专门针对高端酒店 Wi-Fi 网络攻击商旅人士。

三、APT态势分析

2025 年，全球网络安全厂商和机构累计发布 APT 报告 700 多篇，涉及 APT 组织 140 个，其中 42 个是首次披露的新组织。这一数据表明，APT 生态不仅没有萎缩，反而在持续扩张。

从攻击目标来看，APT 活动高度聚焦于地缘政治热点。攻击目标集中分布于政府机构、国防军工、信息技术、金融、教育等十几个重点行业。其中，政府、教育、科研领域占比超过七成。

我国作为 APT 攻击的重点目标，2025 年 360 累计监测到 1300 余起针对我国的 APT 攻击，攻击主要来自南亚、东南亚、东亚及北美，覆盖 15 个关键行业。

当然了，这些很可能只是冰山浮出水面的部分。在水面之下，一场更为隐蔽、持久的战争，每时每刻都在发生。

APT 与日常威胁最大的不同就是：APT 已经超出了攻防的范畴，成为了不择手段、不守规则、不受约束、游离于网络之上的幽灵，几乎已然可以将 APT 与“战争”画上等号了。

四、纵深防御

防御 APT 需要构建覆盖攻击链全生命周期的纵深防御体系。

我在学到纵深防御这个词的时候，老师给了我一个很好的解释：“纵深防御其实就是多种防御机制层层递进的手段。”它有点像多因子认证，但针对性更强。目前主流的一种构思是，针对不同攻击类型或手段采取不同的防御方式，而不是把多种防御方式集中在一种防御机制上。说白了，类似多买几台不同类型的设备来针对不同的攻击，而不是主要依赖一台多功能的安全防护设备。

纵深防御的五层基本模型：

层次	名称	防御重点	典型设备/措施
第一层	物理安全	防止对硬件设施的物理接触	机房门禁、监控、机柜锁
第二层	网络安全	防止网络层面的攻击和非法访问	防火墙、IPS、VPN、网络微分段
第三层	主机安全	防止服务器和终端被入侵	EDR、主机防火墙、补丁管理、基线加固
第四层	应用安全	防止应用层的漏洞被利用	WAF、运行时防护（RASP）、代码审计
第五层	数据安全	保护核心数据不被窃取或破坏	加密、DLP、备份、脱敏