Ein Unternehmen, das erkennt, dass ein Advanced-Persistent-Threat-Angriff (APT) im Gange ist, bildet eher die Ausnahme. Angreifer konzipieren APTs so, dass sie subtil und hartnäckig sind und möglichst lange unentdeckt bleiben.
Und meist gelingt es ihnen, unentdeckt zu bleiben. Die durchschnittliche „Verweildauer“ – der Zeitraum zwischen Infiltration und Entdeckung – ist in den vergangenen Jahren gesunken und könnte inzwischen bei durchschnittlich einigen Wochen liegen, doch selbst in dieser Zeit können versierte Hacker großen Schaden anrichten.
Um APTs zu verhindern, braucht es eine solide Grundlage aus grundlegenden Sicherheitstechniken in Kombination mit einer effektiven Sicherheitsüberwachung. Einige zusätzliche Sicherheitstechniken können die Chancen gegenüber APTs jedoch noch weiter verbessern.
Was sind APTs?
Advanced Persistent Threats gehen von versierten Angreifern aus, die über fortschrittliche Hacking-Tools, ausgefeilte Techniken und möglicherweise große Teams verfügen. Diese Angreifer verfolgen gleichzeitig verschiedene Angriffsarten, um sich dauerhaft oder zumindest langfristig in einer Organisation festzusetzen. Einige werden von Nationalstaaten unterstützt oder operieren zumindest in bestimmten Ländern unbehelligt. In Russland etwa wurden Bedrohungsgruppen toleriert, solange sie zusicherten, ihre Hacking-Aktivitäten in anderen Ländern durchzuführen.
APTs umfassen eine Komponente des Cyberangriffs, aber häufig auch Vertrauensbetrug, Social Engineering, physischen Zugriff auf Einrichtungen, Bestechung, Erpressung und andere Methoden, um Zugriff auf Systeme zu erlangen. Sobald ein APT Zugriff erhält, versuchen die Angreifer, diesen durch Hintertüren in Servern, die Installation von Software und das Hinzufügen kontrollierter Hardware zu Netzwerken sowie weitere Techniken aufrechtzuerhalten.
Nachdem sie sich dauerhaft festgesetzt haben, können Angreifer austesten, welche Angriffe Alarmmeldungen auslösen. Sobald sie die Schwelle der IT-Verteidiger ermittelt haben, verfolgen die APT-Angreifer ihre Ziele mit Techniken, die unter dem Radar der IT-Verteidiger bleiben sollen.
Beispiele für APTs
Traditionell dienten APTs dazu, Informationen für Spionagezwecke zu beschaffen oder Sabotage zu verüben. Inzwischen haben Cyberkriminelle jedoch begonnen, APT-Methoden zu übernehmen, um ihren Opfern kontinuierlich Werte zu entziehen. APTs werden meist von großen Teams umgesetzt, doch auch eine einzelne engagierte Person kann mit den richtigen Fähigkeiten einen APT-Angriff durchführen.
APTs bestehen aus drei Phasen:
- Zugriff erlangen
- Zugriff aufrechterhalten
- Ziele umsetzen
APT-Angriffe nutzen für diese Phasen unterschiedliche Mittel. Anhand aktueller Beispiele lässt sich jedoch die große Bandbreite an Angriffen, kreativen Techniken und unterschiedlichen Zielen nachvollziehen.
APT-Angriffe zum Erlangen von Zugriff
Phishing und Watering Holes
Der wichtigste Angriffsvektor der meisten Angriffe, nicht nur von APTs, ist Phishing. Einige APTs streuen mit allgemeinen Phishing-Angriffen ein weites Netz, andere nutzen Spear-Phishing-Angriffe, um bestimmte Personen und Unternehmen ins Visier zu nehmen. Phishing verleitet Benutzer häufig dazu, ihre Anmeldedaten preiszugeben oder Malware auf ihren Computern auszuführen.
Die mutmaßlich von der chinesischen Regierung unterstützte Cyber-Spionagegruppe BlackTech beispielsweise versandte E-Mails mit Excel-Dateien und schädlichen Makros an japanische und taiwanische Unternehmen aus den Bereichen Verteidigungstechnologie, Medien und Kommunikation. Sobald das Makro ausgeführt wird, öffnet es eine HTTP-Verbindung zu einem Command-and-Control-Server (C2), der zusätzliche Befehle und Nutzdaten zur Ausführung sendet.
Watering Holes – also legitime, mit Malware infizierte Websites – versuchen, schädliche Nutzdaten zu übermitteln oder Anmeldedaten zu stehlen, ähnlich wie Phishing-Angriffe, jedoch über ein anderes Medium. Bei Watering-Hole-Angriffen werden Websites manipuliert, die von den anvisierten Opfern wahrscheinlich besucht werden.
Chinesische APT-Akteure manipulierten die Website eines pro-demokratischen Radiosenders in Hongkong mit Malware, die Systeme mit der DazzleSpy-Backdoor infizieren sollte. Diese nahm anschließend Kontakt zu einem C2-Server auf. Die DazzleSpy-Backdoor verfügte über interessante Funktionen zur Umgehung der Erkennung, darunter eine Ende-zu-Ende-Verschlüsselung zur Vermeidung einer Firewall-Inspektion sowie eine Funktion, die die Kommunikation unterbrach, sobald ein TLS-Inspection-Proxy erkannt wurde.
Siehe die besten Lösungen für Secure E-Mail-Gateways
Ausnutzung von Sicherheitslücken
Sobald neue Sicherheitslücken entdeckt werden, versuchen APT-Akteure, sie schnell auszunutzen und neue Angriffe zu starten. Zu den jüngeren Beispielen gehören Angreifer, die Log4j-Sicherheitslücken ausnutzten, um innerhalb weniger Stunden nach ihrer Bekanntgabe US-Bundesstaaten zu kompromittieren, sowie Zoho-Sicherheitslücken, die zum Hacken des Roten Kreuzes genutzt wurden.
Während viele Angriffe auf Sicherheitslücken von staatlich unterstützten Akteuren ausgehen, die Informationen stehlen wollen, nutzen auch kriminelle Gruppen Sicherheitslücken, um APTs zu starten. Diese Angriffe konzentrieren sich auf finanziell lohnende Ausnutzungsszenarien wie Cryptojacking, Botnet-Verbreitung, Business-E-Mail-Compromise oder Ransomware.
Die Ransomware-Gruppe Cuba beispielsweise nutzte ProxyShell- und ProxyLogon-Sicherheitslücken in Windows-Exchange-Servern, um Hintertüren im Exchange-Server zu platzieren und zusätzliche Malware einzuschleusen. Nach dem Zugriff auf den Exchange-Server versuchten die Angreifer anschließend, auf weitere Computer im Netzwerk zuzugreifen und zusätzliche Hintertüren einzurichten, um auch dann dauerhaft Zugriff zu behalten, wenn einige Hintertüren später entdeckt werden sollten.
Lesen Sie auch: Die besten Tools für das Schwachstellenmanagement
Gezielt erzeugte Backdoor-Sicherheitslücken
Die verheerendsten APT-Angriffe werden meist von Regierungen entwickelt. Diese Angriffe bleiben oft jahrelang unentdeckt und sind schwer abzuwehren.
2022 entdeckten chinesische Forscher eine zehn Jahre alte Hintertür, die eine mit der US National Security Agency (NSA) verbundene APT-Gruppe in das Linux-Betriebssystem eingeschleust hatte. Der Angriff sendet eine Klopf-Anfrage an Port 80 (HTTP), wodurch das in das auf dem Server installierte Linux-Betriebssystem eingebettete Backdoor-Skript ausgelöst wird. Nach der Ausführung ermöglicht die Hintertür den Angreifern, eine Datenpipeline einzurichten und PowerShell auf dem Server auszuführen.
Die Chinesen setzten einen ähnlich langfristig angelegten Exploit um, indem sie einen Mikrochip auf Hauptplatinen installierten. Jeder Computer mit einer solchen Hauptplatine leitete Daten, die über die Platine flossen, auch über Netzwerke zurück nach China.
APT-Angriffe zum Aufrechterhalten des Zugriffs
Nach dem Erlangen des Zugriffs nutzen APTs eine große Bandbreite an Angriffen, um diesen aufrechtzuerhalten. Viele Angriffe enthalten Malware, die letztlich von Software zur Endpunkterkennung entdeckt wird, weshalb Angreifer sie kontinuierlich verändern.
Remote-Access-Trojaner (RATs) ermöglichen beispielsweise dauerhaften Zugriff auf kompromittierte Computer und helfen Angreifern dabei, weitere Malware einzuschleusen und PowerShell-Angriffe auszuführen. Chinesische APT-Gruppen nutzten den PlugX-RAT bereits 2008, haben die Software jedoch zum ShadowPad-RAT weiterentwickelt, der legitime ausführbare Dateien ausnutzt, um die Software zu starten und einer Entdeckung zu entgehen.
Statt eines RATs setzen iranische APT-Angreifer einen PowerShell-Angriff ein, der sich vor Sicherheitstools verbirgt, weil er keine neuen PowerShell-Instanzen startet. Stattdessen läuft er im Kontext von .Net-Anwendungen, um sich mit C2-Servern zu verbinden und zusätzliche Malware wie Keylogger, Infostealer und Ransomware einzuschleusen.
Einige Angreifer können sich sogar außerhalb des Betriebssystems und damit jenseits des Erkennungsbereichs der meisten Malware-Schutzprogramme verbergen. Chinesische APT-Angreifer entwickelten eine Malware für die Unified Extensible Firmware Interface (UEFI), die den Bootvorgang kapert und im SPI-Flash-Speicher der Hauptplatine gespeichert wird – außerhalb der Reichweite der meisten Tools, die sie entfernen könnten.
Lesen Sie auch: PowerShell ist die Quelle für mehr als ein Drittel der kritischen Sicherheitsbedrohungen
Ziele von APTs
Das häufigste Ziel von APTs bleibt Spionage und Datenexfiltration. Angriffe richten sich gegen eine große Bandbreite von Opfern, etwa Rüstungsunternehmen in den USA oder Unternehmensnetzwerke in Deutschland.
Russische APT-Akteure haben bisher die weitreichendsten langfristigen Ziele verfolgt: die Kompromittierung von Lieferketten. Sowohl beim NotPetya-Angriff von 2017 als auch beim SolarWinds-Angriff von 2020 schleusten Angreifer Malware in vertrauenswürdige Updates ein. Dadurch konnte der APT alle Kunden und verbundenen Netzwerke der Opfer beeinträchtigen.
So verheerend und weitreichend Angriffe auf die Lieferkette auch sein können: Die meisten Unternehmen müssen sich weniger vor ehrgeizigen Angreifern fürchten und eher mit der kriminellen Übernahme von APT-Techniken auseinandersetzen. Eine weitaus größere Zahl krimineller Gruppen nutzt APT-Techniken, um Daten zur Erpressung zu exfiltrieren oder Ransomware im Netzwerk eines Opfers auszuführen. Bevor diese offensichtlichen Angriffe erfolgen, führen die Angreifer möglicherweise zunächst Business-Compromise-Betrügereien durch oder nutzen IT-Ressourcen für Cryptojacking und Botnet-Farmen.
So verhindern Sie APTs
Phase 1: Sicherheitsgrundlagen priorisieren
Beginnen Sie zur Verhinderung von APT-Angriffen mit den Grundlagen:
- Zugriff auf Geräte beschränken:
- Schließen Sie unnötige Firewall-Ports im Netzwerk und auf einzelnen Geräten
- Verwenden Sie Web Application Firewalls zum Schutz exponierter Webanwendungen
- Starke Zugriffskontrolle für Benutzer
- Verwenden Sie starke Passwörter
- Zugriff nach dem Least-Privilege-Prinzip („Zero Trust“) für Benutzer
- Assets absichern
- Sorgen Sie für einen wirksamen Endpunktschutz (Antivirensoftware, EDR)
- Überwachen Sie E-Mails und sichern Sie E-Mail-Server ab
- Überwachen und sichern Sie Netzwerkgeräte ab
- Zeitnahe und korrekte Wartung und Informationen
- Erkennen und pflegen Sie Asset-Inventare und Listen genehmigter Software
- Sorgen Sie für eine wirksame Protokollierung von Systemen, Geräten und Anwendungen
- Halten Sie Systeme und Software gepatcht, aktualisiert und in gutem Zustand
Wenn die Grundlagen nicht von Anfang an umgesetzt werden, beeinträchtigt dies alle fortschrittlichen Tools und erschwert sämtliche Sicherheitsmaßnahmen.
Siehe die besten Tools für die Netzwerküberwachung
Phase 2: Beobachten, prüfen und lernen
Nach der Umsetzung der Grundlagen müssen IT-Teams und andere Mitarbeiter auf Anzeichen eines Angriffs achten, vorhandene Systeme überprüfen und sich über APTs informieren.
Überwachung
Setzen Sie passive Überwachungslösungen ein, etwa Security Operations Center (SOC) oder Security Information and Event Management (SIEM)-Tools. Diese Tools oder Mitglieder des Sicherheitsteams verfolgen anhand von Protokolldateien aus verschiedenen Quellen wie Firewalls, Servern und Endpunktschutzsoftware erfasste Änderungen.
Diese Protokolle können unsere Sicherheitsteams auf ungewöhnliches oder bösartiges Verhalten aufmerksam machen. Diese Überwachung kann intern erfolgen oder von beauftragten Drittanbietern wie Managed Security Services Providern (MSSPs).
Tests
Überprüfen Sie vor dem Auftreten eines Vorfalls, ob alle Systeme ordnungsgemäß eingerichtet und abgesichert sind. Führen Sie Penetrationstests und Schwachstellentests durch, um den Systemstatus zu überprüfen und verbleibende Schwachstellen zu erkennen.
Vorhandene Schwachstellen sollten anhand des wahrgenommenen Risikos und des Werts des betroffenen Assets analysiert und priorisiert werden. Letztlich sollten alle Schwachstellen behoben oder durch Kontrollen abgesichert werden, um die Wirksamkeit künftiger Angriffe und deren Schäden zu begrenzen.
Eine häufig übersehene Form der Überprüfung sind Integritätsprüfungen nach dem Patchen. Nach der Anwendung kritischer Sicherheitspatches auf wichtige Ressourcen sollten diese Ressourcen überprüft werden, um Benutzer, Anwendungen und den Status des Assets zu verifizieren.
Beispielsweise beseitigte die Anwendung der Patches für lokale Microsoft-Exchange-Server zur Behebung der ProxyLogon- und ProxyShell-Sicherheitslücken zwar die Möglichkeit, neue APT-Angriffe zu starten, entfernte jedoch keine bereits vor dem Angriff installierten WebShells. Serveradministratoren mussten die verschiedenen identifizierten Exploits verfolgen und fortlaufend Korrekturmaßnahmen umsetzen.
Lernen
Alle Mitarbeiter müssen sich der möglichen Methoden und Anzeichen von APT-Angriffen bewusst sein. IT-Mitarbeiter sollten eine auf ihre Aufgaben zugeschnittene technische Schulung erhalten. Diese Schulung konzentriert sich auf systemspezifische Warnmeldungen der Organisation, aktuelle Sicherheitswarnungen und neu entdeckte Schwachstellen.
Mitarbeiter außerhalb der IT sollten regelmäßig zu den neuesten Methoden für Phishing, Business Email Compromise und Social Engineering geschult werden. Sie müssen nicht die technischen Details dazu kennen, wie ein mit Malware infiziertes Makro in einem Excel-E-Mail-Anhang funktioniert, sollten aber genug wissen, um Makros nicht zu aktivieren.
Siehe die beste Schulung zur Sensibilisierung von Mitarbeitern für Cybersicherheit
Wenn möglich, aufrüsten
Sobald unsere Grundlagen geschaffen sind und unsere Teams wirksam beobachten, prüfen und lernen, können wir über Aufrüstungen nachdenken. Alle Organisationen sind in irgendeiner Form mit Ressourcenbeschränkungen konfrontiert. Daher müssen Aufrüstungen auf den Prioritäten der Organisation, den Budgets und der Verfügbarkeit von Personal basieren. Zu den möglichen Aufrüstungen, die eine Organisation in Betracht ziehen kann, gehören:
- Zugriff auf Geräte weiter beschränken:
- Implementieren Sie Network Access Control (NAC)-Lösungen, um unsichere Geräte aktiv zu blockieren
- Verwenden Sie fortschrittliche Firewall-Lösungen mit Funktionen zur Paket- und Anwendungsprüfung
- Führen Sie Netzwerksegmentierung und Netzwerk-Mikrosegmentierung ein, um Systeme zu isolieren
- Zugriffskontrollsicherheit für Benutzer verbessern
- Implementieren Sie Multi-Faktor-Authentifizierung (MFA)
- Führen Sie Zero-Trust-Lösungen ein, um die grundlegende Autorisierung für Personen, Geräte, Dienste und Anwendungen durch eine kontinuierliche Autorisierung zu ersetzen
- Erstellen Sie differenzierte und granular strukturierte Benutzergruppen mit spezifischen Rechten und Berechtigungen
- Assets absichern
- Rüsten Sie auf Endpunktlösungen um, die das Verhalten von Endpunkten aktiv überwachen
- Nutzen Sie Analysen des Benutzer- und Entitätsverhaltens (UEBA) zur schnellen Erkennung von Anomalien
- Installieren Sie Data-Loss-Prevention-(DLP)-Tools, um das Löschen, Verschieben oder Kopieren von Daten zu überwachen
- Setzen Sie Datenverschlüsselung für ruhende und übertragene Daten ein
- Rüsten Sie Tools auf KI- und ML-gestützte Tools auf, die proaktiv Warnmeldungen erzeugen und routinemäßige Probleme automatisch beheben
Viele dieser Aufrüstungen, etwa MFA, Datenverschlüsselung oder fortschrittliche Firewalls, gelten für größere oder ausgereiftere Organisationen als grundlegende Maßnahmen. IT-Manager müssen stets nach Verbesserungen suchen, und zwar im Rahmen ihrer spezifischen Ressourcenbeschränkungen.
APTs erkennen
Wir verfügen über grundlegende Sicherheitsmaßnahmen, doch diese halten einen Angreifer nicht davon ab, einen APT zu etablieren. Wir wissen, dass wir ihn so schnell wie möglich erkennen müssen: Je länger ein Angreifer Zugriff auf Systeme hat, desto mehr Techniken und Tools kann er einsetzen, um den Zugriff aufrechtzuerhalten, Systemtools zu beeinflussen und Schäden zu verursachen.
Wie können wir also einen laufenden APT erkennen? Die wichtigsten Warnmeldungen ergeben sich aus der Erkennung ungewöhnlichen Verhaltens in Bezug auf Endpunkte, Benutzer, Daten und unser Netzwerk.
Überwachung von Endpunkten und Benutzern
Wenn Angreifer ihren Angriff beginnen, müssen sie Befehle direkt oder indirekt über Malware auf unseren Endpunkten ausführen können. Die meisten APT-Angriffe werden in Protokolldateien auf dem Computer erfasst und können Warnmeldungen in fortschrittlicherer Endpunktschutzsoftware auslösen.
Wir müssen auf diese Warnmeldungen achten. Der Einsatz fortschrittlicher Tools wie UEBA oder SIEM kann unsere Teams automatisch benachrichtigen und unsere Reaktionszeit auf Angriffe verkürzen.
Unsere Warnmeldungen sollten durch die unbefugte Nutzung von Hacking-Tools oder ungewöhnliche Versuche der lateralen Bewegung in unserem Netzwerk ausgelöst werden. Wenn wir unsere Benutzergruppen sorgfältig eingerichtet haben, sollten Warnmeldungen noch schneller erzeugt werden.
In den meisten Unternehmen müssten beispielsweise nur Administratoren PowerShell oder Befehlszeilentools verwenden. Sobald diese Tools von den meisten Benutzern oder auf den meisten Geräten gestartet oder ausgeführt werden, sollten sofort Warnmeldungen erzeugt werden.
Überwachung von Daten und Netzwerken
Die eigentliche Bedrohung durch einen APT geht natürlich von seiner Fähigkeit aus, auf Daten von Benutzern und aus dem Netzwerk zuzugreifen und diese zu stehlen. Zusätzlich zu unseren Benutzern und ihren Geräten müssen wir unsere Netzwerkgeräte, Firewalls und Server auf Spitzen beim Datenfluss, beim Kopieren von Daten oder beim Löschen von Daten überwachen.
Um ungewöhnliches Verhalten zu erkennen, müssen wir im Voraus Basismuster für das Verhalten und die Aktivitäten der Benutzer festgelegt haben – und zwar auf Systemen, von denen bekannt ist, dass sie nicht infiziert sind. Außerdem können wir unsere Firewalls, Server und Netzwerke auf Prozesse untersuchen, die versuchen, aktive Ports und Einstellungen anzupingen oder zu ändern.
Täuschungstechnologie kann unseren Sicherheitsteams Zeit verschaffen und frühzeitig Warnmeldungen auslösen. So kann beispielsweise ein Honeypot-Datenserver mit einem verlockenden Namen wie „Forschungsarchiv“ oder „Finanzunterlagen“ eingerichtet werden. Warnmeldungen können dann erzeugt werden, sobald ein Angreifer versucht, die Inhalte zu untersuchen.
Wie reagieren Sie auf APTs?
Was kann nach der Erkennung eines APT unternommen werden? Es kann nicht schaden, Experten hinzuzuziehen, die auf die Reaktion auf Sicherheitsvorfälle spezialisiert sind und dabei helfen, dem Fachwissen der Angreifer entgegenzuwirken.
Unabhängig davon, ob eine Organisation externe Hilfe in Anspruch nimmt oder auf ihre internen Ressourcen zurückgreift, sind die erforderlichen Schritte jedoch dieselben wie bei jedem anderen Vorfall. Das zuständige Team muss sich auf Folgendes konzentrieren: Eindämmung, Beseitigung, Wiederherstellung und gewonnene Erkenntnisse.
Lesen Sie auch So erstellen Sie einen Plan zur Reaktion auf Sicherheitsvorfälle
Eindämmung
Die Isolierung von Systemen hat zunächst Priorität, um die Ausbreitung des APT zu stoppen und Schäden zu begrenzen. Wenn sich der Zugriff des Angreifers nicht auf digitalem Weg eindämmen lässt, muss die Organisation den Zugriff auf die Außenwelt physisch trennen, bis ihre Systeme repariert werden können.
Incident-Response-(IR)-Teams müssen den APT-Angriff zurückverfolgen und müssen möglicherweise damit beginnen, weite Bereiche des Netzwerks zu isolieren. Isolierte Bereiche können erst wiederhergestellt werden, wenn ihre Sicherheit bestätigt wurde. Dieser Prozess wird eine Organisation wahrscheinlich erheblich beeinträchtigen – insbesondere, wenn der Angriff nicht frühzeitig erkannt werden kann und sich bereits ausgebreitet hat.
Beachten Sie, dass Angreifer wahrscheinlich versuchen werden, auf vielen verschiedenen Computern zahlreiche Hintertüren einzurichten, bevor sie mit der Umsetzung ihrer Ziele beginnen und umfassendere Warnmeldungen auslösen. Viele Computer zeigen möglicherweise keine bösartigen Aktivitäten, verfügen aber möglicherweise bereits über Hintertüren, die für eine spätere Verwendung installiert wurden.
Siehe die besten Tools und Services für die Reaktion auf Sicherheitsvorfälle
Beseitigung und Wiederherstellung
Sobald der Angriff eingedämmt ist, kann das IR-Team den Angriff zurückverfolgen, bis es den wahrscheinlichen Ausgangspunkt identifiziert. Diese Rückverfolgung sollte die ursprüngliche Schwachstelle aufdecken, die den Angriff ermöglicht hat, sowie die verschiedenen Systeme und Daten, die vom APT betroffen waren.
Anschließend muss das IR-Team ermitteln, welche Maßnahmen erforderlich sind, um das System, die Daten oder die Benutzer-ID wieder funktionsfähig zu machen. Die Maßnahme kann so einfach wie das Zurücksetzen eines Passworts oder so umfassend wie der vollständige Austausch eines Geräts sein.
Hoffentlich verfügt die Organisation über regelmäßige und umfassende Backups, die vom APT-Angreifer nicht irreversibel beschädigt wurden. Beachten Sie, dass Backups, die APT-Malware oder böswillig veränderte Einstellungen enthalten, möglicherweise gelöscht werden müssen, um eine Wiederherstellung des APT zu vermeiden.
Siehe die besten Backup-Lösungen zum Schutz vor Ransomware
Gewonnene Erkenntnisse
Nachdem die Systeme wiederhergestellt und der Angriff beendet wurde, sollte das IR-Team das IT-Team und das Management über den Angriff informieren. Ausgenutzte Schwachstellen sollten beseitigt und zusätzliche Warnmeldungen eingerichtet werden, um ähnliche APT-Angriffe so früh wie möglich zu erkennen.
Wachsam bleiben
APTs stellen weiterhin eine wachsende Bedrohung für Organisationen jeder Größe dar, da staatlich unterstützte Gruppen neue Methoden entwickeln und ältere Methoden von kriminellen Organisationen übernommen werden. APT-Angreifer nutzen zwar fortschrittliche Fähigkeiten und Tools, doch eine solide IT-Sicherheitsbasis und sorgfältige Überwachung können dabei helfen, APT-Angriffe zu erkennen und abzuschrecken.