网络与信息技术的日新月异、加速渗透与深度应用，已深刻改变了社会生产生活方式[1]：1)当前社会运行模式普遍呈现网络化发展态势，网络技术对国际政治、经济、文化、军事等领域发展产生了深远影响；2)网络无疆域性导致网络信息的跨国界流动，从而使信息资源日益成为重要生产要素和社会财富，信息掌握的多寡成为国家软实力和竞争力的重要标志；3)为确保竞争优势和国家利益，各国政府开始通过互联网竭尽所能收集情报信息。在此种背景下，全新的网络空间安全威胁开始出现，高级持续威胁(advanced persistent threat，APT)攻击是其中最具威胁性的类型之一。

APT攻击的出现从本质上改变了全球网络空间安全形势[2]。近年来，在国家意志与相关战略资助下，APT攻击已演化为国家网络空间对抗新方式，它针对诸如政府部门、军事机构、商业企业、高等院校等具有战略战术意义的重要部门，采取多种攻击技术和攻击方式，以获取高价值敏感情报或破坏目标系统。

作为一种新型网络攻击和安全威胁，工业界与政府部门非常关注和重视APT攻击与防御技术研究与应用。国际著名的黑客大会(如BlackHat、Def Con等)从2010年开始举办APT攻防专题研讨会；国内著名的网络安全大会(如CNCERT/CC、ISC等)从2012年开始设立APT防御技术论坛。与此同时，相关安全厂商也相继推出了APT防御解决方案如FireEye公司的APT检测防御系统、Bit9公司的可信安全平台等。

目前，国内对于APT攻击与防御技术的关注与研究跟进及时。Icefog冰雾组织、Calc Team组织等相继开展了APT攻击技术研究。相关的APT防御解决方案主要有360公司的天眼未知威胁感知系统、安天公司的追影高级威胁鉴定器等。

纵观当前主流APT防御解决方案，大致分为4类[3-4]：1)恶意代码检测类，其核心思想是：基于行为异常特征的边界防御，将未知程序载入沙箱进行模拟运行，进而根据程序行为判断其合法性；2)主机应用保护类，其核心思想是：基于白名单机制的终端防御，有则放行，无则禁止；3)网络入侵检测类，其核心思想是：基于私有云实现多层次威胁防御；4)大数据分析检测类，其核心思想是：通过对APT攻击生命周期所产生的海量数据进行收集、分析、检测、监控，及时准确发现相关攻击。

作为一种重要而紧迫的国家网络空间对抗新威胁，APT攻击已成为网络空间安全领域研究者所共同关注的热点，本文详细而全面介绍APT攻击机理与防御研究成果，有助于总体把握APT攻防研究进展，并促进国内在该方向上的研究。

2006年，APT被正式提出[5]，用以描述自20世纪90年代末至21世纪初在美国政府和军事网络中发现的强大而持续的网络攻击。

美国中情局将经典情报周期划分为5个阶段：规划、收集、处理、分析和生产、传播，并明确APT攻击属情报收集范畴。美国国防部的高级网络作战原则中明确指出针对APT攻击行为的检测与防御是整个风险管理链条中至关重要的组成部分。可见，APT攻击侧重于敏感数据获取与关键情报收集。

自APT术语诞生至今，依然没有权威统一的定义，但不同研究机构和研究者相继提出了各自对于APT的理解与描述。美国国家标准技术研究所(National Institute of Standards and Technolgoy，NIST)[6]给出的APT定义为：攻击者掌握先进的专业知识和有效的资源，通过多种攻击途径(如网络、物理设施和欺骗等)，在特定组织的信息技术基础设施建立并转移立足点，以窃取机密信息，破坏或阻碍任务、程序或组织的关键系统，或者驻留在组织的内部网络，进行后续攻击。美国著名的FireEye公司[7]认为：APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”。安天公司[8]认为：APT是指组织(特别是政府)或者小团体使用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。

尽管研究者从不同视角给出了APT的不同定义，但仍可通过其名称结构来理解APT攻击本质：高级、持续、威胁。因此，本文认为：APT是指组织(特别是政府)或者小团体使用先进的攻击手段对特定目标进行有组织、有目标、隐蔽性强、破坏力大、持续性长的新型攻击和安全威胁。由于其背后是技术优秀、资金充足的黑客组织或集团，在攻击前准备充分，在攻击时隐蔽性强，在攻击后难以取证，APT已演化为有目的、有组织、有预谋、隐秘的群体式定向攻击。

APT演化发展历程可划分为3个阶段[8-11]：1)网络安全威胁初级阶段(1986—2000年)；2)网络安全威胁中级阶段(2000—2010年)；3)网络安全威胁高级阶段(2010年至今)。

在威胁初级阶段，主要以感染式的计算机病毒、跨节点自我复制的蠕虫和相关威胁意图的木马等恶意代码为攻击载体，以炫耀编程技术和知识产权报复为攻击动力，所涉及的通常是小规模网络攻击。在此期间，恶意代码攻击从整体上一直践行着网络安全木桶原理，选择系统中的防御脆弱点而攻之。

在威胁中级阶段，利用软件漏洞和社工邮件为渗透工具，以持续性网络攻击为主要攻击手段，以经济获利为攻击动力，其目标明确、持续性强、具有稳定性。此阶段的网络攻击多伴随着网络犯罪和网络间谍行为，以经济利益为主要目的。在此期间，利用前阶段的恶意代码技术积累，仍以脆弱处如软件漏洞和社工邮件为攻击点。

在威胁高级阶段，以攻击基础设施、窃取敏感情报为目的，具有强烈的国家战略意图。在此期间，网络攻击行为更综合、更隐蔽，即尽可能利用多种安全技术与工具，更为隐蔽、悄无声息地潜伏于目标系统中，以伺机发起窃密与破坏攻击。由于有雄厚的资金支持，此时的网络攻击持续更长、威胁更大；由于攻击背后包含国家战略意图，APT攻击已具备网络战雏形，现实威胁极大。

任何事物都有其生命周期，APT攻击也不例外。APT攻击的生命周期可分为3大环节[12-14]：1)攻击前奏环节；2)入侵实施环节；3)后续攻击环节。每个攻击环节包含相应的攻击阶段，且环环相扣、井然有序。

攻击前奏环节主要包括2个阶段：1)情报收集；2)前期渗透。

在情报收集阶段，根据国家意志或来自于政府部门的情报请求，安全机构会聚焦所设定的目标(国家或企业)，然后通过与目标相关的网站、雇员简历、网站数据等信息，寻找目标所使用的可能存在漏洞的(或易于攻击的)软件和基础架构。在此阶段，将使用尽可能多的工具与技术，收集攻击目标尽可能多的情报信息，为后续攻击提供情报支持。

攻击者要收集的情报主要包括2类[12]：1)目标企业的背景、公司文化、人员组织等人文信息；2)目标系统的网络环境信息，包括网络结构、防护体系、业务系统、应用程序版本等。攻击者收集情报的方法主要有2类[13]：1)网络隐蔽扫描；2)社会工程学方法。网络隐蔽扫描主要包括：公开信息收集、钓鱼收集、人肉搜索、网络嗅探、网络扫描等。社会工程学方法则利用人性弱点，采用欺骗手段获得目标的信任，进而获取相应情报。情报收集贯穿APT攻击整个生命周期，攻击者对于攻陷的每个控制点都会收集相关信息，以指导后续攻击。

在前期渗透阶段，利用情报收集阶段所获信息，进行相应的渗透准备工作。攻击者将有针对性地制定周密的入侵路径计划，寻找漏洞、开发或购买攻击工具、选择控制服务器或攻击跳板，为入侵实施提供工具与技术支持。

在入侵实施环节，攻击者针对目标系统展开实际攻击，以获取更多更具价值的情报信息。主要包括3个阶段：1)植入恶意代码；2)提升特权；3)命令与控制通信。

在植入恶意代码阶段，攻击者利用相关雇员的机器漏洞有针对性地植入恶意代码、安装设置后门，实现对目标机器的完全访问，为后续攻击提供入侵点支撑。概括起来，此阶段主要瞄准2类目标对象[14]：1)目标系统的主体；2)目标系统的客体。主体就是人，包括目标网络管理者和使用者。攻击者常利用社会工程学原理，通过发送包含恶意代码或恶意链接的社工邮件而使恶意代码植入目标系统。客体就是目标网络系统，包括软件漏洞、网站漏洞和Shellcode代码。攻击者通过所寻找到的软件漏洞或网站漏洞，利用Shellcode触发漏洞溢出执行特定代码，从而实现恶意代码植入。

在提升特权阶段，攻击者通过恶意代码执行来提升管理权限，以攻陷更大更多的目标主机。此阶段主要利用前阶段植入的恶意代码执行，先期控制目标系统某一主机后，再进一步渗透并提升权限，为后续阶段的敏感数据外传提供权限支持。

在命令与控制通信阶段，攻击者通过已建立好的通道来进行远程操控。攻击者使用该通道来打开并操纵后门网络的访问，寻找有价值数据并进行压缩、加密和打包，然后通过该通道将数据传回给攻击者。

在后续攻击环节，攻击者在获取敏感数据或实施破坏后，还需进行深度渗透以维持长期获取信息权限或使取证者难以查证攻击痕迹。主要包括3个阶段：1)横向渗透；2)资源发掘；3)销声匿迹。

在横向渗透阶段，攻击者为确保隐秘存在而不被发现，需要在目标网络内进行横向迁移，进一步渗透周边主机、植入恶意代码、潜伏并等待时机。

在资源发掘阶段，攻击者为确保长期控制目标系统，需要隐蔽地维持对目标系统的访问权限，持续挖掘、获取有价值情报信息或伺机实施破坏。

在销声匿迹阶段，攻击者为干扰事后取证而进行反取证工作，主要包括：销毁日志、Rootkit隐匿等，使取证者无证可取或取得伪证，以规避检测或逃避责任。

目前，国内外研究者针对APT攻击特点，从不同视角提出了各具特色的APT攻击检测防御体系。趋势科技[15]提出了演化的APT治理战略方案：1个中心、4个过程和6个抑制点，即以监控为中心，实现威胁可视化、策略下发、以及威胁情报共享；以侦测、分析、响应、阻止为4个治理过程，贯穿整个APT治理的生命周期；对应APT攻击过程的6个阶段分别建立抑制点，实现针对性极强的防御。

纵观现有APT攻击检测防御方案，可将其归纳为3类[16-18]：1)基于攻击周期的防御方案；2)基于攻击源的防御方案；3)基于攻击载体的防御方案。

由APT攻击周期可知，攻击是分阶段、按计划隐蔽地、逐步地推进。从攻防博弈的视角来看，如能围绕APT攻击周期建立多重防御体系，覆盖攻击的主要环节，则能有效地拦截攻击行为。

针对攻击前奏环节，通常使用诸如网络漏洞扫描、社工钓鱼电邮等技术，需要有针对性地在网络边界识别、检测此类攻击行为。

针对入侵实施环节所涉及的漏洞利用载体、木马病毒、敏感数据外泄等行为，需要在网络内部进行有针对性地识别与检测。

针对后续攻击环节所使用的主要技术，需要采用反Rootkit、日志对比等检测技术。

APT攻击的复杂性源于攻击路径、攻击载体、攻击类型和攻击信息的多源性。如果能从这4方面建立覆盖广泛的APT攻击检测防御体系，那么攻击者将无处下手。

从攻击路径的角度，在攻击前奏环节和入侵实施环节所产生的网络流量主要是从网络外部进入内部；而在植入恶意代码、命令与控制、提取渗透和后续攻击环节则包含双向网络流量。因此，如果能监测内部到外部的网络流量，则可发现入侵成功信息和可疑的被入侵主机等攻击信息。

从攻击载体的角度，攻击者所使用的攻击载体主要包括可执行代码、网址、社工邮件、即时通信等。如果能针对此类攻击载体进行特征码扫描检测，则可有效发现APT攻击信息。

从攻击类型的角度，攻击者所发起的攻击类型主要包括基于软件漏洞利用攻击和基于网络协议漏洞利用攻击。如果能覆盖这些攻击类型的检测，则可有效预警APT攻击。

从攻击信息的角度，攻击者会利用网络流量、隐遁技术、日志擦除等方法发起APT攻击。如果能检测此类攻击信息，则可发现更多可疑攻击点，及时预警APT攻击。

APT攻击是利用先进的攻击手段对特定目标进行长期持续性网络攻击，是由一系列阶段与环节组成，且前呼后应、环环相扣，极具严密逻辑性和强大威胁性。因此，从攻防博弈角度，需要针对每个具体攻击载体点，采用基于数字签名、内容、行为、事件关联、全局数据等检测方法，建立多维度的防御机制，确保防御网络无死角。

基于数字签名的检测技术能快速识别已知威胁。基于内容的检测技术能发现导致威胁的内容或者可疑的内容。基于虚拟行为的检测技术可有效分析和判定相关威胁。基于事件关联的检测技术将有助于判定可疑内容事件与异常行为事件的威胁准确性和关联性。基于全局数据分析的检测技术能获取攻击的全局信息。

总之，全面而有效的APT攻击检测防御体系应该是由攻击周期、攻击信息源、攻击载体等所构成的多层次、全方位、立体的检测防御体系，从而能快速发现攻击特征、准确获取攻击痕迹、及时定位攻击源、有效阻止APT攻击对目标系统的渗透破坏。

对于高级的、复杂的APT攻击检测，研究者从不同角度提出了不同的解决方案[19]。

从APT攻击的检测思路来看，目前的解决方案主要围绕3个方面：1)基于APT攻击生命周期；2)大数据分析；3)动态行为分析。

从APT攻击生命周期可知，攻击是分阶段按计划隐蔽地逐步向前推进的。从攻防博弈的视角来看，如果能围绕APT攻击生命周期的每个阶段与环节建立起防御体系，攻击者将难以从整体上逃避检测。基于APT攻击生命周期的检测防御思路的优点是能逐点拦截、整体识别，缺点是研发与部署成本过高，稍有疏忽则将造成木桶效应。

从数据空间的角度来看，由于APT攻击载体存在于大数据中，如果能利用大数据分析，对各层面、各阶段的全方位数据进行检测，则可依据不同数据关联不同阶段的原则，进行APT攻击检测分析。基于大数据分析的检测思路的优点是容易发现、关联攻击事件，缺点是数据复杂、系统复杂、成本过高。

当APT攻击载体加载执行时，才会表现出其攻击行为。从本质上说，只有动态行为分析才能实时获知APT攻击特征，进而及时响应攻击事件。通过在沙箱中虚拟执行相关载体，动态监控并分析其对沙箱的文件系统、进程、注册表及网络连接等行为，以此判断其行为是否正常。动态行为分析的优点是能实时响应APT攻击，缺点是计算资源代价高，易出现系统性能瓶颈。

从APT攻击的检测目标来看，主要围绕3个方面：1)恶意代码检测；2)主机应用保护；3)网络入侵检测。

纵观APT攻击生命周期，不难发现攻击者向目标系统植入恶意代码这个环节非常重要，它直接关系到后续攻击的成败。因此，几乎所有的APT攻击检测防御方案都包含恶意代码检测。目前，主要有Web应用攻击检测、邮件攻击检测、文件攻击检测等。

在攻击者借助各种渠道向目标系统植入恶意代码后，需要执行该恶意代码。而在目标主机上执行程序，需要相应权限。因此，通过白名单机制控制主机上的应用程序的加载和执行，能防止相关恶意代码执行，进而遏制APT攻击。

几乎所有的APT攻击都会在网络边界处产生异常行为流量。如果能在网络边界建立入侵检测系统，监测出入网络流量，搜寻APT攻击的命令和控制通道的特征，则能及时发现并有效预警APT攻击。

从APT攻击的检测技术来看，可概括为2类：1)虚拟化动态检测技术；2)内容无签名算法检测技术。

虚拟化动态检测技术是通过在虚拟机上执行攻击样本，记录该样本运行后的所有行为，以此判断是否为恶意的APT攻击代码。目前，多数国外的APT攻击检测产品主要使用该技术。

内容无签名算法检测技术是针对各种内容格式进行深度分析以发现可疑特征，再配合虚拟执行分析检测，以此判断是否为APT攻击。目前，国外少数先进的APT攻击检测产品中部分使用了该技术。

尽管现有检测防御技术在对抗APT攻击时有一定成效，但其局限性也是显而易见的。传统的检测技术主要在网络边界和主机边界进行检测，主要包括防火墙、入侵检测、安全网关、杀毒软件和反垃圾邮件系统等。然而，此类产品均缺乏对未知攻击的检测能力、对流量的深度分析能力和事件关联能力。

当前，APT攻击给现有检测防御技术带来的挑战主要体现在3方面[3]：1)攻击手段先进性挑战；2)攻击的持续性与隐蔽性挑战；3)攻击意图明确性挑战。

随着社会信息化和智能化的发展，APT攻击已呈现出攻击工具专业化和精准化、攻击目标多元化、攻击方式智能化、攻击技术隐遁化、攻击规模小型化、攻击手段勒索化等发展趋势[20-21]。

1) APT攻击工具专业化和精准化。

随着网络犯罪活动与国家或组织资助的网络间谍活动的日益加剧，将催生出功能更强、规模更大、效果更好的黑客攻击工具。APT攻击工具的专业化与精准化，将使此类攻击更隐蔽、更难检测，从而更具安全威胁性。

2) APT攻击目标多元化。

APT攻击目标也呈现多元化发展趋势，除了涉及汽车、电器、家居等行业，也包括军队、公安、能源、电力、金融、教育等事关国计民生或国家核心利益的重要部门及其网络基础设施。这将使检测防御任务更加艰巨。

3) APT攻击方式智能化。

与传统的APT攻击方式相比，基于记忆与优化的APT智能攻击方式将更加出其不意、攻其不备，从而使传统检测防御技术防不胜防。

4) APT攻击技术隐遁化。

APT攻击技术隐遁化将涉及攻击生命周期的各个阶段与环节，使攻击行为及其相关特征更加隐蔽、攻击载体潜伏期更长，因此而带来的损失更大，造成的安全威胁更严重。

5) APT攻击规模小型化。

由于较大规模的APT攻击将受到国家和企业的高度关注与防范，攻击者将可能采取化整为零的攻击方式，使用小规模的APT攻击。APT攻击规模的小型化，并不意味着攻击范围缩小，与此相反，更多国家和企业将遭受攻击，从而使检测防御工作更加任重而道远。

6) APT攻击手段勒索化。

勒索软件的高回报率以及个人或企业在遭遇勒索后通常希望通过交付赎金尽快赎回相关信息，使得APT攻击开始呈现与勒索软件结合的发展态势。APT攻击手段勒索化将严重影响国家、企业、个人等全方位利益，威胁面更广。

综合上述讨论与分析，本文认为APT防御领域进一步研究方向包括[11, 22-23]：

1) 大数据分析。

为达到攻击目的，APT攻击链的大部分活动都在目标网络内部完成。由于APT攻击在目标网络内的活动被隐藏于海量的正常网络行为之中，进行防御的难度可想而知。

大数据分析可以通过从APT攻击链上的所有环节采集网络、日志、文件等数据，借助异常行为分析模型、多维威胁关联分析，发现攻击特征、还原APT攻击链、定位APT攻击源。因此，从本质上说，大数据分析是基于攻击生命周期的检测分析，是对抗APT攻击的有效途径。

2) 社会工程学防护。

在攻击前奏环节，攻击者通常使用各种社会工程学方法，用于收集目标对象的相关信息和诱使目标点击下载特定恶意代码。

社会工程学攻击的对象是人，而人是APT攻击防御链上最重要而又最脆弱的环节。因此，为从源头上遏制APT攻击，需要提高相关人员的社会工程学攻击防范意识，加强社会工程学防护。

3) 可视化防御技术。

由于APT攻击的复杂性、持续性、隐蔽性、欺骗性，在APT攻击的各环节与阶段都将产生与攻击相关的海量数据。

可视化作为探索、展示和表达数据含义的一种方法，充分利用人类视觉系统接收信息量大、速快的特点，让人在更高层面上去观察和理解数据，并利用海量数据去思考更复杂的问题。可视化在对APT攻击进行大数据安全分析时将发挥至关重要的作用，使人们在分析研究APT攻击时具有更加开阔的全局视野，从整体上进行APT攻击事件关联，及时准确的发现APT攻击。

4) 网络取证分析。

由于APT攻击技术本身所具备的反取证特性，以及所涉及的攻击环节多、攻击周期长，导致攻击事件的取证分析、因果关联分析与时间关联分析相对困难，这将从整体上影响APT攻击的检测防御效率。尽管很多APT攻击事件是在攻击活动发生后被察觉的，但如果能在收集APT攻击各阶段所产生的网络流量、事件日志的基础上，进行动态网络取证分析，则有助于实时发现攻击特征、跟踪攻击事件、及时预警攻击。

5) 智能事件关联分析。

APT攻击行为通常涉及多种途径、多个环节，在不同的攻击入口总会留下相应的痕迹和线索，造成相关的攻击微事件。对于这些攻击微事件，需要从全局角度进行关联性分析。

通过智能事件关联分析可以对所有检测结果进行时间、内容与事件关联查询、挖掘与展示，呈现APT攻击行为全貌，将有助于进行攻击确认、发现可疑攻击事件，并及时预警相关攻击行为。

本文从攻防技术演化的角度探讨了APT攻击机理、APT防御体系与检测方法，并在此基础上展望了APT未来发展趋势和进一步研究方向。从本质上说，APT依旧沿袭攻防博弈的对抗性思维，其攻击与防御技术将相互影响、交替演化、与时俱进。