Homepage › SIEM › Advanced Persistent Threats (APT): czym są i jak wykrywa je SIEM

SIEM

Advanced Persistent Threats (APT): czym są i jak wykrywa je SIEM

Securevisio
21.10.2026

Wprowadzenie

Żyjemy w czasach szybkiego postępu w dziedzinie technologii informacyjno-komunikacyjnych (ICT), a nasza zależność od nich rośnie niemal w każdym aspekcie życia. Niestety postęp technologiczny stwarza też nowe możliwości dla cyberataków. Systemy ICT przetwarzają ogromne ilości danych, a dane stały się cennym zasobem, który stosunkowo łatwo zamienić na pieniądze. Ponadto rozwój dużych modeli językowych (LLM) ułatwił cyberprzestępcom działanie na dużą skalę. Przygotowanie zautomatyzowanych skryptów, exploitów czy kampanii phishingowych nie wymaga już takich umiejętności ani nakładu pracy jak kiedyś. Dla zespołów cyberbezpieczeństwa odpowiedzialnych za ochronę systemów ICT oznacza to coraz większe wyzwania w codziennej pracy. Coraz trudniej jest wykryć cyberatak, zanim dotrze do ostatniej fazy.

Typowe kampanie cyberprzestępcze to operacje typu „smash-and-grab”. Rozpoczynając cyberatak, napastnik nie skupia się na konkretnym celu – liczy na skalę ataku, która przyniesie mu zysk. Co więcej, jego celem jest zwykle szybkie spieniężenie kampanii. Niezależnie od tego, czy chodzi o sprzedaż skradzionych danych, żądanie okupu, czy inny rezultat, zysk pojawia się niemal natychmiast.

Prawdziwe zagrożenie ma jednak inny charakter. Jest nim Advanced Persistent Threat (APT). Zgodnie z publikacją 800-39 National Institute of Standards and Technology (NIST)[1] APT to przeciwnik o wyrafinowanym poziomie wiedzy specjalistycznej i znacznych zasobach, który dzięki wykorzystaniu wielu różnych wektorów ataku (np. cybernetycznych, fizycznych i opartych na oszustwie) tworzy sobie możliwości osiągnięcia swoich celów. Typowe cele APT to zbudowanie i rozszerzanie obecności w infrastrukturze informatycznej organizacji w celu ciągłej eksfiltracji informacji i/lub podważenia lub utrudnienia kluczowych aspektów misji, programu lub organizacji albo umieszczenia się w pozycji, która pozwoli to zrobić w przyszłości. Ponadto APT realizuje swoje cele wielokrotnie, przez dłuższy czas, dostosowując się do wysiłków obrońcy mających na celu jej powstrzymanie i z determinacją utrzymując poziom interakcji niezbędny do osiągnięcia założonych celów.

Zespoły bezpieczeństwa mierzą się z wykwalifikowanym i doświadczonym przeciwnikiem – często wspieranym przez państwo – dla którego priorytetem nie jest szybkie spieniężenie, lecz doprowadzenie ataku do ostatniego etapu i unikanie wykrycia za wszelką cenę. Operacje APT są precyzyjne, prowadzone przez długi czas i silnie ukierunkowane. Ich głównymi celami są najczęściej cyberszpiegostwo, kradzież własności intelektualnej (IP) i tajemnic państwowych, wywieranie wpływu geopolitycznego oraz strategiczne zakłócanie funkcjonowania krytycznej infrastruktury państwa.

Dla zespołów bezpieczeństwa i narzędzi takich jak systemy SIEM największym wyzwaniem w wykrywaniu zagrożeń APT są długie przerwy między działaniami napastnika w trakcie ataku. Poszczególne akcje mogą być oddzielone tygodniami, a nawet miesiącami bezczynności grupy APT.

Anatomia APT

To, że działania napastnika w skompromitowanym środowisku są rozłożone w czasie, nie jest przypadkiem. Jest to celowa taktyka mająca na celu wtopienie się w normalny ruch sieciowy oraz typową aktywność użytkowników i administratorów zaatakowanej organizacji. Wszystko po to, aby utrudnić wykrycie wrogiej obecności w środowisku IT. Długie przerwy między działaniami dodatkowo utrudniają proces detekcji.

Ataki APT są starannie planowane. Czyni je to niezwykle niebezpiecznymi, ale jednocześnie odsłania ich największą słabość – skoro napastnik planuje swoje działania, robi to zazwyczaj według pewnego wzorca. Analizując wiele incydentów, możemy odkryć ten wzorzec i w rezultacie przewidzieć kolejne kroki napastnika.

Do opisu ataków APT stosuje się zwykle kilka podejść. Najpowszechniej wykorzystywane to Cyber Kill Chain oraz MITRE ATT&CK (Adversary Tactics, Techniques, and Common Knowledge).

Cyber Kill Chain[2] dzieli włamanie na zdefiniowaną sekwencję siedmiu faz, od rozpoznania (Reconnaissance) po realizację celów (Actions on Objectives). Została opracowana przez firmę Lockheed Martin w 2011 roku. Cyber Kill Chain to rozwinięta wojskowa koncepcja kill chain przeniesiona na grunt cyberbezpieczeństwa. Jest nadal używana, ale koncentruje się na tradycyjnej obronie perymetrycznej.

Framework MITRE ATT&CK[3] – opublikowany w 2015 roku – to żywy, stale rozwijany zbiór powszechnie stosowanych taktyk, technik i procedur (TTP) wykorzystywanych przez zaawansowane trwałe zagrożenia (APT) i innych cyberprzestępców. Twórcy publikują co najmniej dwie duże aktualizacje frameworka rocznie. MITRE ATT&CK udostępnia swoje macierze sektorowi prywatnemu, rządom, społeczności producentów i dostawców usług cyberbezpieczeństwa oraz ogółowi społeczeństwa. Framework zawiera dane o grupach zagrożeń i ich TTP, a także odniesienia i przykłady – szczegółowe raporty z zaobserwowanych i udokumentowanych kampanii APT wraz ze wskaźnikami kompromitacji (Indicators of Compromise, IOC) z nich wyprowadzonymi.

Zgodnie z frameworkiem MITRE ATT&CK atak APT można postrzegać jako składający się z kilku faz:

Faza 1: Rozpoznanie i przygotowanie zasobów

Na tym etapie napastnik wybiera cel – organizację lub osobę. Jednocześnie przygotowuje się do przeprowadzenia ataku. Działania te odbywają się całkowicie poza infrastrukturą IT celu, co sprawia, że są praktycznie niewykrywalne dla konwencjonalnych systemów bezpieczeństwa. Informacje o potencjalnych przygotowaniach napastnika można uzyskać wyłącznie dzięki usługom Cyber Threat Intelligence (CTI).

W fazie 1 cyberprzestępcy profilują organizację, aktywnie i pasywnie zbierając dane o niej i jej pracownikach. Poszukują informacji o infrastrukturze ICT, publicznych adresach IP, wykorzystywanych usługach chmurowych i relacjach biznesowych. Infrastruktura ICT dostępna z internetu może stać się celem skanowania w celu zidentyfikowania uruchomionych usług lub istniejących podatności. Napastnicy badają też rozwiązania bezpieczeństwa, mechanizmy obronne i znane sygnatury ataków, z których może korzystać ofiara.

Jednocześnie pracownicy (zwłaszcza administratorzy IT i kadra zarządzająca) są profilowani poprzez analizę mediów społecznościowych (m.in. LinkedIn, Twitter i Facebook).

W ramach przygotowań do ataku kupowane są domeny i adresy IP, a często opracowywane jest dedykowane złośliwe oprogramowanie lub skrypty. Na podstawie zebranych danych może zostać stworzona kampania spear-phishingowa lub opracowane exploity wykorzystujące podatności wykryte w infrastrukturze ICT.

Faza 2: Uzyskanie dostępu początkowego

Gdy napastnik uzna, że zebrał wystarczająco dużo informacji o celu i przygotował niezbędne zasoby do przeprowadzenia ataku, wykonuje pierwszy ruch w ramach kampanii – próbuje uzyskać dostęp do dowolnego elementu środowiska ICT celu. W tej fazie ataku napastnik stosuje techniki wykorzystujące różne wektory wejścia, aby zdobyć pierwszy przyczółek w sieci.

W większości scenariuszy napastnicy za pomocą phishingu nakłaniają pracowników firmy docelowej do otwarcia złośliwego załącznika lub kliknięcia spreparowanego adresu URL, licząc na dostarczenie ładunku (payload) poprzez wykorzystanie podatności w popularnej przeglądarce lub aplikacji, takiej jak Adobe Acrobat czy Microsoft Office. Mogą też wykorzystać podatności w infrastrukturze dostępnej z internetu, np. w koncentratorach VPN lub serwerach pocztowych.

Faza 3: Utrwalenie obecności i unikanie obrony

Dla grupy APT uzyskanie dostępu do infrastruktury to dopiero początek. Doskonale wiedzą, że systemy IT i komputery użytkowników są często aktualizowane, poddawane pracom serwisowym w oknach konserwacyjnych i restartowane. Dlatego ich priorytetem jest natychmiastowe zabezpieczenie zdobytego dostępu do infrastruktury ICT. W tym celu modyfikują ustawienia autostartu i skrypty startowe związane z uruchomieniem hosta lub logowaniem użytkownika oraz tworzą zaplanowane zadania w Harmonogramie zadań (Task Scheduler).

Równie ważne jest dla nich uniknięcie wykrycia, a zatem pozostawienie jak najmniejszej liczby śladów. Aby to osiągnąć, mogą dodawać wyjątki w oprogramowaniu antywirusowym i lokalnie zainstalowanych zaporach sieciowych, a nawet usuwać wpisy z dziennika zdarzeń.

W ramach wysiłków mających na celu uniknięcie wykrycia coraz częściej stosowana jest taktyka „Living off the Land” (LotL)[4]. Podejście to polega na wykorzystywaniu wbudowanych lub istniejących, legalnych narzędzi administracyjnych systemu operacyjnego, takich jak PowerShell, Windows Management Instrumentation (WMI) czy PsExec. Dla systemów monitorowania taka aktywność wygląda jak standardowa praca administratora IT i nie wywołuje alarmu.

Faza 4: Rozpoznanie wewnętrzne, ruch boczny i eskalacja uprawnień

Pierwszy skompromitowany host rzadko jest ostatecznym celem napastnika. Musi on zatem zlokalizować interesujące go hosty lub dane w sieci wewnętrznej organizacji-ofiary oraz zidentyfikować kontrolery domeny, serwery baz danych lub stacje przekaźnikowe służące do zarządzania infrastrukturą OT. W większości przypadków każdy host zidentyfikowany przez napastnika w fazie rozpoznania wewnętrznego zostaje również skompromitowany.

Na każdym skompromitowanym hoście napastnik koncentruje się na kradzieży jak największej liczby poświadczeń. Używając narzędzi do zrzutu pamięci (np. wariantów Mimikatz) lub technik takich jak Kerberoasting, pozyskuje hasła lub skróty haseł innych użytkowników. Następnie, posługując się skradzionymi tożsamościami, przemieszcza się płynnie i po cichu z maszyny na maszynę w sieci, unikając wykrycia i eskalując uprawnienia aż do poziomu administratora domeny.

Faza 5: Dowodzenie i kontrola (Command & Control, C2)

Większość ataków APT jest prowadzona metodą „hands-on”, co oznacza, że napastnik działa interaktywnie, wydając polecenia lub decydując o uruchomieniu zautomatyzowanych (skryptowych) działań. Z tego względu nawiązuje on połączenie z własną infrastrukturą. Kanał ten służy mu do przesyłania poleceń do wykonania na hostach, ale także do eksfiltracji danych. Aby uniknąć wykrycia przez systemy IDS/IPS i zapory sieciowe, grupy APT stosują wyrafinowane techniki maskowania ruchu, m.in. szyfrowanie całej komunikacji lub tunelowanie komunikacji przez standardowe porty (np. HTTPS/443, DNS). Wykorzystują także dobrze znane i popularne legalne usługi jako pośredników C2 (np. komunikację przez publiczne kanały Telegrama, Dysk Google, a nawet ukrywanie poleceń w komentarzach w serwisie GitHub). W rezultacie ruch sieciowy generowany przez napastnika wtapia się w typowy ruch sieciowy.

Faza 6: Zbieranie danych, eksfiltracja i skutki

Po tygodniach lub miesiącach niewykrytej obecności w infrastrukturze ICT, mapowania sieci i zdobywania najwyższych uprawnień napastnik przechodzi do ostatniej fazy ataku. Zazwyczaj polega ona na eksfiltracji danych. Aby nie wywołać alarmów o nagłym transferze gigabajtów danych, są one najpierw gromadzone w niewzbudzającym podejrzeń miejscu, powoli kompresowane, szyfrowane i wysyłane małymi, niepozornymi paczkami – proces ten może również trwać tygodniami. W przypadku kampanii czysto destrukcyjnych napastnicy mogą ostatecznie uruchomić złośliwe oprogramowanie typu Wiper, bezpowrotnie niszczące dane i zacierające ślady.

Aktywność grup APT w Niemczech i w Polsce

Ze względu na silną pozycję gospodarczą i liczne projekty badawcze Niemcy są celem różnych aktorów sponsorowanych przez państwa (Rosję, Koreę Północną, Chiny), motywowanych przemysłowym cyberszpiegostwem i kradzieżą własności intelektualnej. Poniżej przedstawiamy krótkie profile najaktywniejszych w Niemczech grup APT sponsorowanych przez państwa:

APT29 – grupa APT przypisywana rosyjskiej Służbie Wywiadu Zagranicznego (SVR)[5], która od co najmniej 2008 roku koncentruje się na zbieraniu informacji wspierających podejmowanie decyzji dotyczących rosyjskiej polityki zagranicznej i bezpieczeństwa. APT29 atakuje przede wszystkim rządy państw zachodnich i powiązane z nimi organizacje, takie jak ministerstwa i agencje rządowe, polityczne ośrodki analityczne (think tanki), sektor lotniczy, finansowy i ochrony zdrowia, organizacje pozarządowe, media, telekomunikację i transport. Wśród jej celów były także rządy państw członkowskich Wspólnoty Niepodległych Państw oraz rządy w Azji, Afryce i na Bliskim Wschodzie. Pod koniec lutego i na początku marca 2024 roku grupa przeprowadziła wysoce ukierunkowane ataki na partie polityczne w Niemczech[6] (w tym CDU). Jako początkowy wektor posłużyły spersonalizowane zaproszenia na kolację, za pomocą których rozprowadzano dedykowany backdoor o nazwie WINELOADER.

Turla – grupa cyberszpiegowska przypisywana rosyjskiej Federalnej Służbie Bezpieczeństwa (FSB)[7]. Od co najmniej 2004 roku przeprowadzała cyberataki na cele w ponad 50 krajach. Głównymi celami grupy są instytucje rządowe, siły zbrojne i ambasady. Jednak na przestrzeni lat grupa rozszerzyła działalność o ofiary z szerokiego spektrum sektorów, w tym edukacji, zaawansowanych technologii, finansów, ochrony zdrowia, farmacji i handlu detalicznego. Raporty z połowy 2026 roku[8] potwierdzają wykorzystanie zaawansowanego złośliwego oprogramowania (np. STOCKSTAY i Kazuar) przeciwko niemieckim i ukraińskim sieciom akademickim, instytutom badawczym i platformom dyplomatycznym. Wśród celów znalazły się m.in. innowacje w sektorze farmaceutycznym i obronnym.

Lazarus Group – grupa powiązana z północnokoreańskim wywiadem wojskowym[9] – Głównym Biurem Rozpoznawczym (Reconnaissance General Bureau, RGB). Jest aktywna od co najmniej 2009 roku i odpowiada za szereg ataków szpiegowskich, sabotażowych i finansowych. Jej działania służą zarówno celom wywiadowczym, jak i generowaniu dochodów dla reżimu – w tym finansowaniu programu broni jądrowej i obchodzeniu sankcji międzynarodowych. Lazarus atakuje szeroki wachlarz sektorów: instytucje rządowe i wojskowe, sektor finansowy (banki, SWIFT), firmy z branży rozrywkowej (np. atak na Sony Pictures w 2014 roku), sektor technologiczny, media i żeglugę międzynarodową; a w ostatnich latach ze szczególnym natężeniem – firmy z branży blockchain, giełdy kryptowalut i dostawców usług związanych z aktywami cyfrowymi. W sierpniu 2026 roku potwierdzono[10], że grupa użyła zaawansowanych exploitów 0-day wymierzonych w środowisko Windows przeciwko łańcuchowi dostaw w sektorze lotniczym i obronnym w Niemczech i na całym świecie.

Mustang Panda – grupa APT powiązana z Chinami[11], aktywna od 2012 roku, specjalizująca się w dopracowanych kampaniach spear-phishingowych, w których używano języków ojczystych celów, aby podszywać się pod organizacje świadczące usługi rządowe. W ramach tych kampanii grupa wykorzystywała bieżące wydarzenia międzynarodowe, takie jak pandemia COVID-19 i konflikt rosyjsko-ukraiński. Do celów grupy należą rządy innych państw, organizacje pozarządowe i inne podmioty uznawane za wrogów chińskiego reżimu komunistycznego. Raporty threat intelligence z pierwszej połowy 2026 roku wskazują, że Mustang Panda przeprowadziła szeroko zakrojoną kampanię, wykorzystując nowe warianty PlugX oraz wektory oparte na nośnikach wymiennych (USB), aby przeniknąć do sieci przemysłu inżynieryjnego i produkcyjnego (zwłaszcza motoryzacyjnego) w Niemczech i w Europie.

Działania grup APT w Polsce mają przeważnie podłoże polityczne i militarne, a głównymi aktorami zagrożeń są grupy powiązane z rosyjskimi (GRU, FSB, SVR) i białoruskimi służbami wywiadowczymi. Poniżej przedstawiamy krótką charakterystykę najaktywniejszych grup APT powiązanych z państwami:

APT28 – grupa APT, która została przypisana rosyjskiemu Głównemu Zarządowi Wywiadowczemu Sztabu Generalnego (GRU), 85. Głównemu Centrum Służb Specjalnych (GTsSS), jednostce wojskowej 26165[12]^,[13]. Grupa jest aktywna od co najmniej 2004 roku. APT28 dąży do zdobywania informacji i wykazuje zainteresowanie rządami i organizacjami bezpieczeństwa w Europie Wschodniej. Działania grupy mają umożliwić rosyjskiemu rządowi przewidywanie intencji decydentów i ocenę ich zdolności do wpływania na opinię publiczną. Grupa atakowała organizacje działające w sektorach: motoryzacyjnym, lotniczym, chemicznym, budowlanym, obronnym, edukacji, energetycznym, inżynieryjnym, finansowym, ochrony zdrowia, produkcyjnym, IT oraz naftowo-gazowym. Ponadto atakowała ambasady, media, organizacje pozarządowe, think tanki i agencje wywiadowcze. W maju 2024 roku instytucje UE (w tym polskie agencje rządowe) padły ofiarą wyrafinowanej kampanii cyberszpiegowskiej, którą oficjalnie potępiła Rada UE. W 2025 roku zaobserwowano, że grupa używa nowych, wspieranych przez sztuczną inteligencję wariantów złośliwego oprogramowania (w tym rodziny LAMEHUG), zoptymalizowanych pod kątem omijania zabezpieczeń sieci administracji publicznej.

Sandworm – grupa APT, która została przypisana jednostce wojskowej 74455 Głównego Centrum Specjalnych Technologii (GTsST) rosyjskiego Głównego Zarządu Wywiadowczego Sztabu Generalnego (GRU)[14]^,[15]. Grupa jest aktywna od około 2009 roku. Choć działa jako jednostka wojskowa, często posługuje się prorosyjskimi personami haktywistów jako przykrywką dla swoich operacji. Sandworm Team atakuje głównie podmioty związane z sektorem energetycznym, przemysłowymi systemami sterowania, SCADA, administracją rządową i mediami. Sandworm Team powiązano z atakiem na ukraiński sektor energetyczny pod koniec 2015 roku oraz ze złośliwym oprogramowaniem NotPetya w 2017 roku. Ponadto przypisuje się tej grupie atak na zimowe igrzyska olimpijskie w Pjongczangu w 2018 roku, po zakazie startu rosyjskich sportowców z powodu dopingu, a także działania związane z wyborami w kilku krajach, w tym w USA w 2016 roku, we Francji w 2017 roku i w Gruzji w 2019 roku. W ostatnich miesiącach grupa zaczęła stosować zaawansowane techniki unikania wykrycia, w tym automatyczne generowanie złośliwego kodu. Na przełomie 2025 i 2026 roku grupa zaatakowała polski sektor energetyczny[16]. W odróżnieniu od tradycyjnych ataków na operatorów przesyłowych celem były tym razem elektrociepłownie oraz nowoczesne systemy zarządzania odnawialnymi źródłami energii (OZE) – farmami wiatrowymi i słonecznymi. Atak dotyczył zarówno systemów informatycznych (IT), jak i technologii operacyjnych (OT).

UNC1151 (Ghostwriter) – grupa APT powiązana z rządem Białorusi, mająca również powiązania z rosyjskimi agencjami wywiadowczymi [17]^,[18]^,[19]. Celami ataków są przede wszystkim osoby związane z polityką i wojskiem, a także te, które mogą mieć pośrednie powiązania z Rosją i Białorusią – takie jak tłumacze przysięgli języka rosyjskiego, prawnicy, pracownicy organizacji pozarządowych, duchowni prawosławni i dziennikarze. Operacje te były skierowane głównie do odbiorców na Litwie, Łotwie i w Polsce i zawierały narracje krytyczne wobec obecności Organizacji Traktatu Północnoatlantyckiego (NATO) w Europie Wschodniej, czasami wykorzystując inne tematy – takie jak narracje antyamerykańskie i związane z COVID-19 – w ramach tej szerszej agendy antynatowskiej. Kampanie te nazwano „Ghostwriter”. Główną motywacją grupy jest kradzież informacji w celach wywiadowczych oraz prowadzenie kampanii dezinformacyjnych. Grupa pozostaje aktywna w Polsce[20].

Gamaredon – grupa APT powiązana z rosyjską Federalną Służbą Bezpieczeństwa (FSB)[21], a konkretnie z jej 16. Centrum – w którym mieszczą się główne zdolności agencji w zakresie rozpoznania elektronicznego i radioelektronicznego – oraz 18. Centrum, pełniącym funkcję Centrum Bezpieczeństwa Informacji[22]. Grupa koncentruje się na kampaniach kradzieży informacji i szpiegostwa wymierzonych w cele wojskowe oraz instytucje polityczne i rządowe na Ukrainie i w krajach wspierających Ukrainę w jej konflikcie z Rosją.

Wyzwanie łączenia kropek za pomocą SIEM

Każda organizacja budująca skuteczny system monitorowania infrastruktury bezpieczeństwa potrzebuje centralnego punktu, w którym gromadzone są logi z każdego hosta. Dopiero wtedy możliwa jest korelacja zdarzeń rejestrowanych na różnych hostach w sieci organizacji. Dopiero wtedy członkowie zespołu bezpieczeństwa będą w stanie zidentyfikować wskaźniki trwającego incydentu bezpieczeństwa – cyberataku. W sercu każdego ekosystemu cyberbezpieczeństwa znajduje się SIEM. Jednak jeśli chodzi o wykrywanie zaawansowanych trwałych zagrożeń (APT), platforma SIEM staje przed ogromnymi wyzwaniami: odróżnieniem normalnej aktywności administratora od działań cyberprzestępcy oraz poradzeniem sobie z ograniczeniami związanymi z szerokim oknem czasowym wykorzystywanym podczas ataków APT.

Ponieważ techniki LotL są powszechnie stosowane w kampaniach APT, poszczególne działania napastnika mogą być praktycznie nieodróżnialne od codziennych czynności upoważnionego personelu IT – takiego jak pracownicy help desku czy administratorzy. Wyzwanie dla systemów SIEM jest tym większe, że grupy APT działają „powoli”, w celu uniknięcia wykrycia za wszelką cenę. Grupa APT może uzyskać początkowy przyczółek w poniedziałek, w piątek po cichu przeprowadzić wewnętrzne rozpoznanie, a następnie odczekać cały miesiąc lub nawet dłużej, zanim spróbuje wykonać zrzut pamięci procesu LSASS na skompromitowanym hoście lub rozpocznie fazy rozpoznania wewnętrznego i ruchu bocznego.

Standardowe reguły korelacji w systemach SIEM są zazwyczaj projektowane tak, aby analizować logi w krótkich oknach czasowych – zwykle od 5 do 15 minut – aby ograniczyć obciążenie przetwarzania i zużycie pamięci bazy danych. W rezultacie, gdy napastnik rozkłada swoje działania na kilka tygodni, standardowy silnik korelacji zawodzi. Początkowe zdarzenia łańcucha ataku wygasają z aktywnego bufora pamięci, zanim nastąpią kolejne złośliwe działania, co przerywa sekwencję przyczynowo-skutkową niezbędną do wygenerowania alertu.

Aby przezwyciężyć te ograniczenia, nowoczesne platformy SIEM opierają się na korelacji połączonej ze śledzeniem stanu (state tracking). Zamiast ignorować zdarzenia po upływie zdefiniowanego okna czasowego, system zapisuje podejrzane atrybuty – takie jak konkretne adresy IP, nazwy hostów lub konta użytkowników – w dynamicznych zbiorach referencyjnych (reference sets) lub listach obserwowanych (watchlists) z wydłużonym okresem ważności, często wynoszącym od 90 do 180 dni. Jeśli napastnik zaloguje się w poniedziałek z nietypowego numeru ASN, ta encja zostaje oznaczona. Gdy miesiąc później to samo konto uruchomi zaciemniony skrypt PowerShell, silnik korelacji sprawdza zbiór referencyjny, skutecznie łącząc odizolowane zdarzenia w całym długim czasie trwania kampanii APT.

Ponieważ techniki „Living off the Land” wtapiają się w codzienną aktywność administratorów, generowanie alertu za każdym razem, gdy uruchamiane są narzędzia administracyjne – lub narzędzia uznawane za mające podwójne zastosowanie (administracyjne lub złośliwe) – może skutkować licznymi fałszywymi alarmami. Funkcją pomagającą zespołom bezpieczeństwa sprostać temu wyzwaniu jest alertowanie oparte na ryzyku (risk-based alerting, RBA) w połączeniu z analityką zachowań użytkowników i encji (User and Entity Behavior Analytics, UEBA). Nowoczesny system SIEM ustala bazową linię normalnej aktywności dla każdego konta i hosta w środowisku IT organizacji. Administrator wykonujący diagnostykę sieci w godzinach pracy mieści się w tym modelu. Te same polecenia wykonane o 3:00 w nocy lub próba ich uruchomienia z innego konta natychmiast podnoszą wynik ryzyka dla danej encji. Użyteczny alert jest generowany dopiero wtedy, gdy ten skumulowany wynik przekroczy zdefiniowany próg krytyczny.

Choć mechanizmy takie jak śledzenie stanu i alertowanie oparte na ryzyku pozwalają systemowi SIEM łączyć kropki w czasie, zależą one całkowicie od tego, czy w ogóle mamy właściwe kropki do połączenia. Nawet najbardziej skryta grupa APT nieuchronnie zostawia ślad cyfrowych okruchów na hostach i w sieci. Wyzwaniem dla obrońców jest przechwycenie właśnie tych śladów bez zalewania SIEM-a nieistotnymi danymi.

Podążając śladem okruchów

Infrastruktura ICT generuje ogromną liczbę zdarzeń zapisywanych w plikach logów. Administrator może skonfigurować poszczególne systemy IT tak, aby rejestrowały niemal każdą operację. W rezultacie ta ogromna liczba zdarzeń trafi do systemu SIEM. Ponieważ jest on w istocie silnikiem agregującym i korelującym dane, przetworzy te zdarzenia; organizacja zmierzy się jednak z problemami związanymi z wydajnością i wzrostem kosztów (licencje na systemy SIEM są często udzielane w zależności od wolumenu przetwarzanych logów). Co więcej, wyniki mogą nie być zbyt dokładne. Skuteczność systemu SIEM zależy bowiem w całości od jakości przetwarzanych danych oraz od tego, jak dobrze zostały w nim wdrożone reguły korelacji.

Aby wykrywać zaawansowane trwałe zagrożenia (APT), system SIEM musi otrzymywać logi wysokiej jakości – czyli takie, które zawierają zdarzenia dotyczące aktywności użytkowników na hostach (w tym uruchamianych skryptów), tożsamości użytkowników i ruchu sieciowego. Grupy APT, takie jak Sandworm i APT29, działają głównie z użyciem legalnych narzędzi administracyjnych (LotL) i przejętych kont o wysokich uprawnieniach.

System SIEM i jego reguły korelacji powinny być skonfigurowane tak, aby wykrywać wszelkie anomalie w normalnym ruchu sieciowym, uruchamianiu oprogramowania i aktywności użytkowników. Oczywiście alertów generowanych na przykład przez oprogramowanie antywirusowe nie wolno ignorować; jednak w wykrywaniu ataków APT to właśnie te anomalie i odchylenia od normalnego działania środowiska – nawet minimalne – stanowią fundament skutecznej detekcji.

Na poziomie hosta kluczowe są logi tworzenia procesów – każde wydane polecenie, uruchomiony skrypt lub program powoduje utworzenie nowego procesu. Dlatego SIEM powinien otrzymywać zdarzenia o identyfikatorze 4688 lub dane z Sysmon 1 wraz z pełnymi argumentami wiersza poleceń. Monitorowanie dostępu do pamięci procesów (Sysmon 10) pozwoli także wykryć próby zrzutu poświadczeń z LSASS za pomocą narzędzi takich jak Mimikatz.

Nie możemy zapominać o PowerShellu. Powinien on zostać objęty monitorowaniem, ponieważ jest natywnie dostępny w każdym środowisku Windows. Logi powinny obejmować następujące zdarzenia:

Script Block Logging (Event ID 4104) – cały blok skryptu w momencie wykonania. Zdarzenie rejestruje zdekodowaną zawartość skryptu (po dekodowaniu np. z Base64).
Module Logging (Event ID 4103) – strumienie, moduły i wywołania funkcji API ładowane przez PowerShell. Zdarzenia te są przydatne do śledzenia zaawansowanych technik wstrzykiwania kodu i użycia narzędzi takich jak PowerSploit czy Empire.

Dodatkowo administratorzy powinni włączyć Transcription Logging – rejestruje on pełny zapis tekstowy sesji PowerShell (w tym dane wprowadzane przez użytkownika i wyniki wykonanych poleceń) w plikach na dysku w określonej lokalizacji. Dobrą praktyką jest utworzenie w tym celu dedykowanego udziału sieciowego, aby utrudnić napastnikowi zacieranie śladów (napastnik, który uzyska lokalne uprawnienia administratora, może usunąć dane przechowywane lokalnie). Może to być bardzo przydatne podczas analizy powłamaniowej.

W ataku APT jednym z kluczowych celów cyberprzestępców jest utrwalenie obecności (persistence). Dlatego do SIEM-a powinny trafiać zdarzenia rejestrowane podczas instalacji nowej usługi (Event ID 7045 lub 4697) lub utworzenia zaplanowanego zadania (Event ID 4698). Warto również rozważyć rejestrowanie modyfikacji istniejących zaplanowanych zadań (Event ID 4702) i zmian kluczy rejestru (Sysmon 12/13).

SIEM powinien też otrzymywać każde zdarzenie związane z czyszczeniem dziennika zdarzeń (Event ID 1102) – jest to potencjalny dowód zacierania śladów przez napastnika, ponieważ rotacja lub czyszczenie logów jest zwykle zautomatyzowane i wykonywane zgodnie z procedurami organizacji.

Cyberprzestępcy chcą podnieść swoje uprawnienia i przemieszczać się bocznie po sieci, co wymaga przejęcia kolejnych kont i poświadczeń. W rezultacie usługa odpowiedzialna za proces uwierzytelniania – Kerberos – jest często celem ataków typu „Golden Ticket” lub „Kerberoasting”. Aby wykrywać te działania, do SIEM-a należy przekazywać zdarzenia związane z usługą Kerberos (Event ID 4768, 4769). Zalecane jest także monitorowanie dostępu do obiektów Active Directory (Event ID 4662).

Aby wykrywać ruch boczny, należy również rejestrować zdarzenia związane z dostępem do udziałów sieciowych (Event ID 5140, 5145), ale tylko te, które dotyczą ukrytych udziałów administracyjnych, takich jak IPC$ i C$.

Logi z urządzeń sieciowych również dostarczają danych, które można wykorzystać do wykrycia trwającego ataku APT. Napastnicy ukrywają swój ruch sieciowy w normalnej aktywności organizacji; w istocie często dokładają starań, aby ich komunikacja odbywała się w podobnych godzinach i wykorzystywała podobne adresy IP lub domeny. Aby wykryć potencjalny atak APT, SIEM musi korelować anomalie w warstwie sieciowej z zachowaniem procesów na hoście.

Analiza przepływów ruchu sieciowego (NetFlow, IPFIX, sFlow), zawierających metadane – takie jak kto z kim się komunikował, na jakim porcie, jak długo i ile danych przesłano – pomoże wykrywać anomalie na poziomie sieci.

Napastnicy często korzystają z zaufanych platform chmurowych, takich jak Mega, Dropbox czy Dysk Google. W takich przypadkach do SIEM-a należy wysyłać logi z serwerów proxy lub Secure Web Gateway (SWG), zwłaszcza te zawierające nagłówki i domeny docelowe.

Ruch DNS jest bardzo często wykorzystywany do eksfiltracji lub komunikacji C2. Napastnicy stosują tunelowanie DNS, aby powoli i niepostrzeżenie eksfiltrować dane z sieci, w których ruch HTTP/HTTPS jest ściśle filtrowany. Dlatego do SIEM-a powinny trafiać także logi z wewnętrznych resolverów.

To nie jedno rozwiązanie – to cały ekosystem

Żadna pojedyncza platforma cyberbezpieczeństwa nie zapewni pełnej widoczności, wiarygodnej detekcji, analizy kontekstowej ani skutecznej reakcji – zwłaszcza w przypadku ataku APT.

System SIEM wdrożony w organizacji będzie oczywiście wspierał wysiłki zespołu bezpieczeństwa, ale nie zapewni wystarczającego poziomu wykrywania zdarzeń ani natychmiastowej reakcji na potencjalny incydent. Mamy po prostu do czynienia ze zbyt dużą liczbą potencjalnych incydentów, z których wiele może okazać się fałszywymi alarmami. Dodatkowym wyzwaniem jest tu wydłużony czas trwania ataków APT.

Dlatego organizacje budują ekosystemy cyberbezpieczeństwa składające się z wielu elementów, które współpracują synergicznie. Należą do nich systemy SIEM, rozwiązania EDR/XDR, SOAR, UEBA oraz Cyber Threat Intelligence (CTI). Każdy z tych elementów wymienia dane z pozostałymi i wspiera je w całym cyklu wykrywania incydentów i reagowania na nie.

Rozwiązanie EDR zapewnia wysoki poziom widoczności na poziomie hosta, uzupełniając system SIEM poprzez normalizację danych z hostów i automatyczne mapowanie drzew procesów. EDR identyfikuje też kluczowe procesy systemowe, chroni ich integralność i zapewnia mechanizm natychmiastowej, zautomatyzowanej reakcji na złośliwe zdarzenia. W przypadku wykrycia anomalii lub potencjalnego incydentu agent EDR może natychmiast odizolować zainfekowany host na poziomie interfejsu sieciowego, skutecznie uniemożliwiając napastnikowi dalsze przemieszczanie się po sieci, zanim analityk w ogóle będzie miał szansę przejrzeć alert w systemie SIEM.

Systemy XDR rozszerzają funkcjonalność systemów EDR na inne komponenty infrastruktury – wykraczają poza środowisko hostów i obejmują urządzenia sieciowe, usługi chmurowe i tak dalej.

Network Detection and Response (NDR) koncentruje się na monitorowaniu ruchu sieciowego w czasie rzeczywistym w celu identyfikowania potencjalnych zagrożeń i reagowania na nie. Po wykryciu zagrożenia NDR może zainicjować natychmiastową reakcję, na przykład izolację dotkniętych segmentów sieci, aby zapobiec dalszemu rozprzestrzenianiu się ataku.

Platformy SOAR to kolejny element ekosystemu cyberbezpieczeństwa. Służą do automatyzacji procesów klasyfikacji incydentów i reagowania na nie. Gdy system SIEM wygeneruje alert o wysokim wyniku, platforma SOAR jest uruchamiana, aby za pośrednictwem API wykonać predefiniowany scenariusz reakcji. Ta synergia znacząco skraca średni czas reakcji na incydent (mean time to respond, MTTR) i odciąża zespół bezpieczeństwa.

Wykrywanie anomalii w środowisku IT i w zachowaniu użytkowników jest kluczowe dla identyfikacji zagrożeń typu APT. Bez odpowiednich narzędzi zespoły bezpieczeństwa nie byłyby w stanie sprostać temu wyzwaniu. Dlatego opracowano systemy User and Entity Behavior Analytics (UEBA). UEBA wykorzystuje zaawansowane algorytmy uczenia maszynowego do ustalenia „normalnego” wzorca zachowania dla każdego użytkownika, konta usługowego i urządzenia w całej organizacji. Dodatkowo korzysta z logów, zdarzeń Active Directory i ruchu sieciowego. Następnie wszystkie działania w środowisku IT są porównywane z tym wzorcem. Wszelkie odchylenia lub anomalie są natychmiast zgłaszane zespołowi bezpieczeństwa na platformie SIEM, a reakcja może być zautomatyzowana dzięki integracji z systemami SOAR.

Bez wiedzy o aktualnych cyberzagrożeniach zadanie każdego zespołu bezpieczeństwa sprowadza się do reagowania na wykryte alerty i potencjalne incydenty. Jeśli jednak wesprzemy te wysiłki informacjami o cyberzagrożeniach, zespoły będą mogły przyjąć podejście proaktywne. Usługi Cyber Threat Intelligence (CTI) dostarczają właśnie takich danych – aktualnych wskaźników kompromitacji (IOC) oraz taktyk, technik i procedur (TTP) stosowanych przez napastników, a także informacji z darknetu o nadchodzących kampaniach lub skradzionych danych (data breaches). Informacje te można przekazywać bezpośrednio do systemów SIEM i EDR/XDR. Taka integracja umożliwia automatyczną analizę bieżących zdarzeń w systemie SIEM pod kątem nowych IOC i TTP, a także wyszukiwanie retrospektywne – gdy pojawia się nowy raport o zagrożeniu, można przeszukać dane historyczne pod kątem nowo opublikowanych IOC i TTP. W wyniku tej analizy zespoły bezpieczeństwa mogą zidentyfikować naruszenia bezpieczeństwa, które nie zostały wykryte w momencie ich wystąpienia.

CTI jest fundamentem proaktywnego podejścia do zapewnienia bezpieczeństwa organizacji. Informacje o zagrożeniach dostarczane przez CTI można wykorzystać do threat huntingu, aby identyfikować nieznane podatności, niewykryte ataki i nowe techniki ataków. Pozwala to zespołom bezpieczeństwa proaktywnie wdrażać środki obronne w celu ich blokowania.

Czy istnieją ograniczenia?

Organizacja może utrzymywać dobrze działający ekosystem cyberbezpieczeństwa składający się z rozwiązań SIEM, EDR/XDR, SOAR, UEBA i CTI, a mimo to pozostawać podatna na cyberatak. Jedną z głównych przyczyn jest to, że każdy komponent działa w ramach określonych ograniczeń technicznych, architektonicznych i operacyjnych. Ograniczenia te mogą tworzyć martwe punkty, obniżać jakość korelacji danych i sprawiać, że zespoły bezpieczeństwa podejmują decyzje na podstawie niepełnego kontekstu.

Sytuacja ta nie zawsze wynika z braku produktu bezpieczeństwa lub jego nieprawidłowej konfiguracji. Często organizacje dysponują właściwymi narzędziami, ale nie są w stanie zbierać, odszyfrowywać, korelować ani skutecznie wykorzystywać danych, do których mają dostęp.

Pierwszym ograniczeniem jest szyfrowanie ruchu sieciowego. Ponad 90% komunikacji C2 i wycieków danych odbywa się za pośrednictwem protokołu HTTPS. Co więcej, grupy APT często korzystają z legalnych usług chmurowych (AWS, Azure, OneDrive, Mega), a ruch do i z tych usług jest również szyfrowany. Odpowiedź na tę sytuację wymaga odszyfrowania ruchu sieciowego, a następnie analizy treści i ponownego zaszyfrowania. Wyniki tej analizy muszą trafiać do systemów SIEM i NDR. Jeśli organizacja nie wdroży tego mechanizmu, nawet prawidłowo wdrożone i skonfigurowane systemy SIEM, NDR i SOAR mogą nie wykryć pobierania złośliwego oprogramowania, komunikacji C2 ani eksfiltracji danych.

Kolejnym wyzwaniem jest ogromna ilość danych generowanych przez środowiska IT. Systemy SIEM są często licencjonowane według liczby zdarzeń na sekundę, dziennego wolumenu przetwarzanych danych, ilości zindeksowanych danych, pojemności magazynu lub okresu retencji. Gdy liczba zdarzeń napływających do systemu SIEM jest zbyt duża, organizacje mogą zacząć ograniczać źródła danych (wykluczając niektóre systemy), obniżać poziom szczegółowości logów lub skracać okresy przechowywania zdarzeń. Decyzje te mogą wydawać się konieczne z perspektywy finansowej lub wydajnościowej, ale mogą znacząco obniżyć jakość monitorowania bezpieczeństwa. Jeśli niektóre zdarzenia nie docierają do systemu SIEM, może on zachować tylko ostatnią podejrzaną aktywność i utracić kontekst niezbędny do zrozumienia łańcucha ataku. Może to uniemożliwić zidentyfikowanie początkowego punktu wejścia, odtworzenie przebiegu ataku, ustalenie, które konta lub systemy zostały skompromitowane, albo stwierdzenie, czy uzyskano dostęp do danych. W takich okolicznościach system SIEM nadal będzie działał i generował alerty, ale zespół bezpieczeństwa nie będzie w stanie zebrać danych potrzebnych do określenia skali i zakresu incydentu.

Organizacje z sektora infrastruktury krytycznej i przemysłu produkcyjnego stają przed jeszcze jednym wyzwaniem. Dotyczy ono środowisk technologii operacyjnych (OT) i przemysłowych systemów sterowania (ICS). Sieci OT i ICS są monitorowane pasywnie, ponieważ aktywne skanowanie i zautomatyzowane reakcje na wykryte zdarzenia (EDR, SOAR) mogą zakłócić ciągłość działania systemów krytycznych lub produkcyjnych, prowadząc do ogromnych strat finansowych, a nawet sytuacji zagrażających życiu. Pasywne monitorowanie sieci i rozwiązania NDR dostarczają cennych informacji; monitorowanie to może być jednak ograniczone przez zastrzeżone lub szyfrowane protokoły przemysłowe.

To nie jedyne wyzwanie związane ze środowiskiem OT/ICS. Zgodnie z modelem PURDUE[23] infrastruktura OT/ICS jest całkowicie oddzielona od środowiska IT. System OT NDR może mieć własną konsolę, inwentarz zasobów, klasyfikację alertów i procedury reagowania, podczas gdy zespół bezpieczeństwa IT niezależnie zarządza systemami SIEM, EDR/XDR, UEBA, SOAR i monitorowania tożsamości. W tym modelu alert OT może nie dotrzeć do systemów bezpieczeństwa IT, a alert IT może nie zawierać informacji o poziomie istotności ani roli zasobu przemysłowego. Może to utrudniać wykrycie ataku APT. Podejrzane zdarzenie w środowisku IT może wyglądać jak rutynowe zadanie administracyjne, dopóki nie zostanie powiązane z dostępem do bramy przeznaczonej do uzyskiwania dostępu do sieci OT/ICS.

Monitorowanie OT i IT, a także plan reagowania na incydenty powinny zostać zintegrowane w jeden proces. Proces ten powinien obejmować wspólną identyfikację zasobów, spójną synchronizację czasu, wspólny kontekst tożsamości, informacje o krytyczności biznesowej i procesowej oraz jasno zdefiniowaną macierz odpowiedzialności pomiędzy zespołem bezpieczeństwa, zespołami sieciowymi, inżynierami OT, operatorami zakładów i personelem reagowania na incydenty. Jednocześnie proces powinien zawierać odrębne procedury reagowania na incydenty dla środowisk IT i OT.

Podsumowanie

Systemy SIEM wspierają zespoły bezpieczeństwa w wykrywaniu ataków APT, przede wszystkim w zakresie analizy zdarzeń zachodzących w środowisku IT i alarmowania o wykrytych anomaliach. Systemy te alarmują zespoły bezpieczeństwa o zdarzeniach, które zostały wcześniej zdefiniowane jako podejrzane, takich jak te wskazujące na nieautoryzowaną obecność w sieci lub na hoście albo nadużycie uprawnień.

System SIEM będzie skuteczny, jeśli organizacja zapewni jakość danych do niego trafiających oraz jakość reguł korelacji, na których działa. Oznacza to, że decydując o tym, co rejestrować, co przekazywać do SIEM-a i co ma wywoływać alert, organizacja musi mieć wiedzę o zagrożeniach, z którymi się mierzy, i o tym, gdzie mogą się one pojawić w jej infrastrukturze. Takich informacji powinna dostarczać usługa CTI oraz modelowanie zagrożeń (threat modeling), które organizacja powinna prowadzić regularnie, z uwzględnieniem swojego specyficznego kontekstu i danych z CTI.

Aby systemy SIEM skutecznie wykrywały zagrożenia APT, logi trafiające do takich systemów i reguły korelacji muszą wykorzystywać informacje CTI o działaniach cyberprzestępców oraz dane o TTP i narzędziach, których ci używają. Ponadto system SIEM musi mieć świadomość obszarów szczególnie narażonych na kompromitację – wszystkich tych, w których przechowywane są cenne dane lub które mają krytyczne znaczenie dla zdolności organizacji do funkcjonowania.

Organizacje muszą też monitorować wszystkie swoje systemy, w tym te, które są częścią zarówno sieci ICT, jak i sieci OT/ICS. Chociaż model Purdue zakłada pełne oddzielenie środowiska przemysłowego od biurowego, a specyfika sieci OT i systemów ICS wymusza podejście pasywne, proces monitorowania obu środowisk oraz plany reagowania muszą funkcjonować jako jeden, zintegrowany mechanizm.

Musimy także pamiętać o ograniczeniach systemów SIEM. Ataki APT są złożone i długotrwałe. Bez rozwiązań uzupełniających system SIEM będzie mniej skuteczny w wykrywaniu tego typu zagrożeń. Wdrażając jednak narzędzia takie jak UEBA, EDR/XDR i NDR, możemy zwiększyć skuteczność wykrywania zagrożeń i poprawić jakość logów trafiających do SIEM-a. Ponadto, wdrażając technologię SOAR i integrując ją z SIEM, możemy skrócić czas reakcji poprzez automatyzację procesu.

Jaka zatem jest ostateczna odpowiedź na pytanie, czy i w jaki sposób SIEM może pomóc w wykrywaniu ataku APT? Jest ona w istocie prosta – jeśli jest częścią dojrzałego ekosystemu cyberbezpieczeństwa opartego na informacjach o infrastrukturze ICT, OT/ICS i wiedzy o potencjalnych zagrożeniach, a jego działanie jest wspierane przez inne rozwiązania cyberbezpieczeństwa, to tak – jest w stanie wykryć trwający atak APT i go zaalarmować.

[1] NIST Special Publication 800-39, Managing Information Security Risk: Organization, Mission, and Information System View, National Institute of Standards and Technology https://csrc.nist.gov/pubs/sp/800/39/final

[2] Lockheed Martin, The Cyber Kill Chain®: https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html

[3] MITRE ATT&CK® Framework: https://attack.mitre.org/

[4] CISA, Identifying and Mitigating Living Off the Land Techniques: https://www.cisa.gov/resources-tools/resources/identifying-and-mitigating-living-land-techniques

[5] https://attack.mitre.org/groups/G0016/

[6] https://cloud.google.com/blog/topics/threat-intelligence/apt29-wineloader-german-political-parties

[7] https://attack.mitre.org/groups/G0010/

[8] https://cloud.google.com/blog/topics/threat-intelligence/stockstay-turla-intelligence-gathering

[9] https://attack.mitre.org/groups/G0032/

[10] https://labs.cloudsecurityalliance.org/research/csa-research-note-lazarus-windows-kernel-zeroday-defense-202/

[11] https://attack.mitre.org/groups/G0129/

[12] https://media.defense.gov/2020/Aug/13/2002476465/-1/-1/0/CSA_DROVORUB_RUSSIAN_GRU_MALWARE_AUG_2020.PDF

[13] https://media.defense.gov/2021/Jul/01/2002753896/-1/-1/1/CSA_GRU_GLOBAL_BRUTE_FORCE_CAMPAIGN_UOO158036-21.PDF