איום מתמשך מתקדם
איום מתמשך מתקדם (באנגלית: Advanced persistent threat; בקיצור: APT) הוא מונח בתחום אבטחת המידע המתאר גורם תקיפה (אנג') בעל מומחיות ומשאבים ניכרים, הפועל לאורך זמן נגד מטרות מוגדרות ומסתגל לצעדי ההגנה שננקטים נגדו. המונח משמש גם לתיאור החדירה הממושכת והממוקדת עצמה.[1][2]
פעילות כזאת עשויה לשמש לאיסוף מודיעין, לגניבת מידע או לשיבוש פעילות. היא מזוהה עם קבוצות הנתמכות בידי מדינות, אך עשויה להתבצע גם למען ארגוני פשיעה או גורמים מסחריים. המונח אינו מציין נוזקה מסוימת או שיטת חדירה אחת.[3]
הגדרה ומינוח
[עריכת קוד מקור | עריכה]במילון המונחים של המכון הלאומי לתקנים וטכנולוגיה מוגדר APT כגורם שמסוגל לבסס ולהרחיב אחיזה במערכות המחשוב של היעד, להמשיך לפעול נגדו לאורך זמן ולהתאים את פעולותיו לניסיונות לבלום אותו. מטרותיו עשויות להיות הוצאת מידע, פגיעה בפעילות הארגון או היערכות לביצוע פעולות אלה בעתיד.[1]
שלושת חלקי השם מדגישים היבטים שונים:
- מתקדם: מומחיות ומשאבים המאפשרים לשלב כמה דרכי תקיפה, ובהן אמצעים טכנולוגיים, פעולות פיזיות והטעיה.[1]
- מתמשך: מאמץ חוזר לאורך תקופה ממושכת, לרבות שינוי דרכי הפעולה בתגובה לצעדי ההגנה.[1]
- איום: גורם אנושי מאורגן, בעל מטרות ויכולת לפעול להשגתן.[3]
במחקר משנת 2019 הוצעה הבחנה בין APT בכלל לבין פעילות שמטרותיה נגזרות מאינטרסים של גוף תומך, כגון מדינה, ארגון פשיעה או חברה מתחרה. תמיכה מדינתית אינה תנאי בהגדרה שהוצעה במחקר.[3] המועצה הלאומית למחקר של ארצות הברית מתארת את המימון, המומחיות והסיוע שארגונים גדולים עשויים להעמיד לרשות תוקפים בעלי יכולות מתקדמות.[4]
פרסום של המועצה משנת 2014 מביא, בהסתמך על מסמך של חברת Fortinet, טענה שלפיה המונח נטבע בחיל האוויר של ארצות הברית בשנת 2006 לתיאור גורם מתוחכם ומתמיד הפועל למען מטרות אסטרטגיות ארוכות טווח. הפרסום מבחין בין שימוש זה לבין השימוש במונח לתיאור חדירה ממוקדת שקשה לגלות ולסלק.[2]
מאפיינים ומהלך הפעילות
[עריכת קוד מקור | עריכה]
פעילות APT עשויה להתחיל באיסוף מידע על היעד ובהשגת גישה ראשונית באמצעות דיוג ממוקד, ניצול פרצת אבטחה או שימוש בפרטי הזדהות שנגנבו. לאחר החדירה עשויים התוקפים לבסס אחיזה מתמשכת, לבצע הסלמת הרשאות, לאסוף פרטי הזדהות נוספים, למפות את הרשת, לבצע תנועה רוחבית (אנג'), כלומר מעבר בין מחשבים ומערכות בתוך הרשת, ולאסוף מידע. בהמשך הם עשויים להוציא מידע מן הסביבה שנפרצה (אנג'), לשבש מערכות או להכין תשתית לפעולה עתידית.[1][5]
מחקרים על פעילות APT מתארים מסעות תקיפה המתנהלים בכמה שלבים. פעולות בשלבים מאוחרים עשויות להסתמך על גישה או מידע שהושגו בשלבים קודמים.[6][7]
MITRE ATT&CK (אנג') היא מסגרת המארגנת התנהגויות של תוקפים בטקטיקות, בטכניקות ובטכניקות משנה. בין הטקטיקות המתוארות בה נכללות גישה ראשונית, התמדה, הסלמת הרשאות, גילוי ומיפוי סביבת המחשוב, תנועה רוחבית, איסוף, שליטה ובקרה והוצאת מידע מסביבת היעד. החלוקה לטקטיקות מתארת את מטרות הפעולות, ולא רצף הכרחי של שלבים.[8]
אחד המאפיינים של פעילות APT הוא התאמת הפעולות לסביבה שנפרצה ולצעדי ההגנה שננקטים. התוקפים עשויים לשנות את הכלים, התשתיות ודרכי הפעולה שלהם במהלך המערכה.[1][7]
ייחוס ושמות של קבוצות תקיפה
[עריכת קוד מקור | עריכה]חברות אבטחת מידע, גופי ממשל וחוקרים מעניקים שמות למקבצי פעילות שנצפו לאורך זמן. הכינויים אינם בהכרח שמות שבהם משתמשים התוקפים עצמם, והם אינם מוכיחים שכל הפעולות נעשו בידי אותו ארגון. גופים שונים עשויים לקבץ פעילות זהה בדרכים שונות. שני שמות עשויים להתייחס לקבוצות שחופפות רק בחלקן, וחוקרים עשויים לחלוק על הקשר ביניהן.[9]
אותה קבוצה עשויה להופיע בפרסומים בכמה שמות. לדוגמה, Fancy Bear מכונה גם APT28, ואילו APT29 מוכרת גם בשם Cozy Bear.[9]
זיהוי והתגוננות
[עריכת קוד מקור | עריכה]זיהוי של פעילות APT אינו נשען בדרך כלל על פעולה אחת או על מזהה תקיפה יחיד. כתובות IP, שמות קבצים וערכי גיבוב עשויים לסייע בזיהוי פעילות מוכרת, אך הסתמכות עליהם בלבד עלולה להחמיץ את השינויים שהתוקפים מבצעים בכלים ובתשתיות שלהם. פעולות שונות עשויות להתבצע מחשבונות, מכתובות IP ובמועדים שונים, ולכן להיראות בתחילה כאירועים שאינם קשורים. זיהוי המערכה נשען על קישור בין התרעות, יומני פעילות ואירועים שנאספו ממערכות שונות לאורך זמן, ועל בחינת ההתנהגות שנצפתה בכמה שלבים.[6][7]
צוותי הגנה משתמשים במסגרת MITRE ATT&CK למיפוי ההתנהגויות שנצפו ולבחינת יכולתם של אמצעי האבטחה לזהות אותן. מיפוי כזה אינו מוכיח כשלעצמו מי עומד מאחורי הפעילות.[5][9]
המלצות להתגוננות מפני פעילות כזאת כוללות תיקון מהיר של פרצות אבטחה במערכות החשופות לאינטרנט, הגבלת הרשאות (אנג'), הפעלת אימות רב-שלבי, חלוקת הרשת למקטעים (אנג') וניטור של תחנות קצה ותעבורת רשת. צעדים אלה נועדו לצמצם את האפשרות לחדירה, להקשות על התנועה בתוך הרשת ולסייע בזיהוי פעילות חשודה.[10][11]
בישראל
[עריכת קוד מקור | עריכה]ביוני 2018 תיאר מערך הסייבר הלאומי את MuddyWater (אנג') כקבוצת תקיפה איראנית שפעלה מסוף 2017 נגד יעדים במזרח התיכון ובאסיה, ובהם ישראל. לפי ההתרעה, אחת משיטותיה המרכזיות הייתה שליחת הודעות דיוג ממוקד עם מסמכים זדוניים, שנועדו להתקין דלת אחורית במחשב היעד.[12] ביוני 2024 ייחס המערך לקבוצה מסע דיוג נרחב נגד מגזרים שונים במשק הישראלי.[13]
באוגוסט 2021 פרסמה מנדיאנט (אנג') מחקר על פעילות שכינתה UNC215. החברה ייחסה את הפעילות לגורמי ריגול סיניים ודיווחה על פגיעה במוסדות ממשל, בספקי טכנולוגיית מידע ובחברות תקשורת בישראל. מנדיאנט תיארה שימוש בקשרי אמון עם צדדים שלישיים, צמצום של ראיות דיגיטליות וסימנים שנועדו לכאורה להטעות חוקרים ולכוון את הייחוס לאיראן.[14]
בספטמבר 2023 פרסמה ESET מחקר על שני מסעות ריגול שהתרחשו בשנים 2021 ו-2022 ויוחסו לקבוצת OilRig, המכונה גם APT34. לפי ESET, מסעות הריגול, שכונו Outer Space ו-Juicy Mix, כוונו בלעדית לארגונים ישראליים. בעדכון מ-5 ביוני 2025 ציינה ESET כי היא משייכת את הפעילות לקבוצת Lyceum, שאותה היא מסווגת כקבוצת משנה של OilRig. החוקרים כתבו כי התוקפים השתמשו באתרי אינטרנט ישראליים שנפרצו כתשתיות שליטה ובקרה ובכלים לאיסוף פרטי הזדהות ומידע מדפדפנים.[15]
בדוח פעילות לתקופה אוקטובר 2024 עד מרץ 2025 תיארה ESET מסע תקיפה נגד חברת ייצור בישראל בינואר ובפברואר 2025, שבו זיהתה סימנים לשיתוף פעולה בין MuddyWater ל-Lyceum. לפי הדוח, MuddyWater ביצעה את החדירה הראשונית והתקינה כלים לשליטה מרחוק וכלי לחילוץ פרטי הזדהות. בהמשך אותו יום השתלטה Lyceum על פעילות התקיפה בארגון, ככל הנראה באמצעות פרטי הזדהות שנאספו.[16]
ראו גם
[עריכת קוד מקור | עריכה]קישורים חיצוניים
[עריכת קוד מקור | עריכה]הערות שוליים
[עריכת קוד מקור | עריכה]- 1 2 3 4 5 6 Advanced Persistent Threat, במילון המונחים של NIST, נבדק ביום 25 באוגוסט 2026
- 1 2 National Research Council, At the Nexus of Cybersecurity and Public Policy: Some Basic Concepts and Issues, The National Academies Press, 2014, תיבה 3.4, עמ' 50, doi:10.17226/18749
- 1 2 3 Atif Ahmad, Jeb Webb, Kevin C. Desouza and James Boorman, Strategically-motivated advanced persistent threat: Definition, process, tactics and a disinformation model of counterattack, Computers & Security, כרך 86, ספטמבר 2019, עמ' 402 עד 418
- ↑ National Research Council, At the Nexus of Cybersecurity and Public Policy: Some Basic Concepts and Issues, The National Academies Press, 2014, עמ' 49, doi:10.17226/18749
- 1 2 MITRE ATT&CK, מאגר הידע של MITRE על טקטיקות וטכניקות של גורמי תקיפה, נבדק ביום 25 באוגוסט 2026
- 1 2 Qingtian Zou, Xiaoyan Sun, Peng Liu and Anoop Singhal, An Approach for Detection of Advanced Persistent Threat Attacks, Computer, כרך 53, 2020
- 1 2 3 Nur Ilzam Che Mat, Norziana Jamil, Yunus Yusoff and Laiha Mat Kiah, A systematic literature review on advanced persistent threat behaviors and its detection strategy, Journal of Cybersecurity, כרך 10, 2024
- ↑ Enterprise ATT&CK Matrix, באתר MITRE ATT&CK, נבדק ביום 25 באוגוסט 2026
- 1 2 3 Groups, באתר MITRE ATT&CK, נבדק ביום 25 באוגוסט 2026
- ↑ Gilad David Maayan, Advanced Persistent Threat Security: 5 Modern Strategies, באתר IEEE Computer Society, 23 במרץ 2023
- ↑ How to Prevent Advanced Persistent Threat Attacks, באתר Huntress, נבדק ביום 26 באוגוסט 2026
- ↑ קמפיין תקיפה חדש של קבוצת MuddyWater, באתר מערך הסייבר הלאומי, 19 ביוני 2018
- ↑ קמפיין דיוג פעיל במרחב הישראלי: קבוצת התקיפה האיראנית MuddyWater, באתר מערך הסייבר הלאומי, 10 ביוני 2024
- ↑ UNC215: Spotlight on a Chinese Espionage Campaign in Israel, צוות מחקר האיומים של Mandiant, 10 באוגוסט 2021
- ↑ Zuzana Hromcová, Adam Burgher, OilRig’s Outer Space and Juicy Mix: Same ol’ rig, new drill pipes, ESET Research, 21 בספטמבר 2023
- ↑ ESET APT Activity Report: October 2024–March 2025, ESET Research, 2025, עמ' 13