APT 是 Advanced Persistent Threat 的縮寫，中文常譯為「進階持續性威脅」。APT 並不是單一攻擊技術，而是由具備高度資源與動機的威脅行為者所主導的長期定向攻擊行動，攻擊者會結合多種技術與工具，長時間對特定目標進行滲透與情報蒐集。
攻擊者通常具備較多資源、技術與明確目的，可能鎖定政府機關、金融業、製造業、科技公司、醫療機構，或企業的雲端服務環境。和一般隨機散播的攻擊不同，APT 攻擊更像是有計畫的長期滲透，目標不是快速攻擊後即撤離，而是悄悄進入系統、維持存取權限，並等待合適時機竊取資料或發動下一步行動。
APT 攻擊是什麼？
簡單來說，APT 攻擊就是攻擊者先研究目標，再選擇最有機會成功的入侵方式。攻擊者可能觀察組織架構、人員職務、常用系統、合作廠商與公開資訊，接著設計釣魚郵件、惡意附件、假登入頁面，或利用尚未修補的漏洞進入環境。成功入侵後，攻擊者不一定會立刻破壞系統，反而會刻意壓低行為特徵（Low and Slow），建立後門、提升權限、橫向移動，慢慢尋找更有價值的帳號、主機與資料。
APT 攻擊的 3 個核心特徵
APT 攻擊並非偶然發生，而是經歷精心策劃的長期行動。攻擊者在行動前通常已對目標進行深入的情報偵察，並根據目標的防禦漏洞量身打造攻擊劇本。了解 APT 的運作邏輯，是企業建立現代化資安防禦體系的重要基礎。具體來說，我們可以從以下 3 個核心特徵來理解這類威脅：
核心特徵一：進階
「進階」指的是攻擊者不只使用單一工具，而是可能結合社交工程、魚叉式釣魚、零日漏洞、客製化惡意程式與規避偵測技術。甚至近年許多 APT 行動並非直接攻擊目標企業，而是透過供應鏈軟體、第三方服務或合作夥伴環境作為跳板，再進一步進入目標網路。攻擊手法會依照目標環境調整，因此不容易只靠單一防毒軟體、防火牆或傳統邊界防護完全阻擋。
核心特徵二：持續
「持續」是 APT 攻擊最重要的特徵之一。攻擊者可能花費數週、數月，甚至更長時間蒐集情報與嘗試入侵。進入環境後，也會刻意壓低行為特徵，避免觸發告警。即使某條路徑被阻擋，攻擊者也可能改用其他帳號、漏洞或供應鏈管道繼續嘗試。
核心特徵三：明確威脅
APT 攻擊通常有明確目標，例如竊取商業機密、研發資料、客戶資料、帳號權限，或破壞關鍵服務。其背後可能是犯罪組織、商業競爭者，甚至是國家級行動者。也因為目標明確，攻擊者往往會針對特定企業或產業設計攻擊內容，而不是隨機尋找受害者。
APT 攻擊流程一次看！
APT 攻擊並非一次性的侵入，而是一場精心規劃的多階段行動。攻擊者從尋找漏洞到達成目標，通常會經歷以下 6 個核心步驟：
1. 偵察目標
攻擊者在發動攻擊前會進行長時間的情報蒐集，透過公開情報（OSINT）、社群媒體、網路掃描或社交工程，深入觀察目標企業的組織架構、員工名單、內部常用系統以及第三方合作夥伴與供應鏈環境，藉此找出防禦最薄弱的突破口。
2. 初始入侵
尋找防禦破口以進入內部網路。常見的入侵手段包括寄送精心設計的魚叉式釣魚郵件、誘騙點擊惡意附件或連結、利用系統或軟體未修補的零日（Zero-day）漏洞、破解遠端服務的弱密碼，或是透過受信任的供應鏈軟體更新進行滲透。
3. 建立立足點
成功進入目標環境後，攻擊者會在受害主機上植入後門程式（Backdoor）或客製化惡意軟體，順利取得一般使用者的存取權限。在此階段，攻擊者會確保自己能在受害環境中執行指令，為後續的滲透行動做好準備。
4. 提升權限 + 橫向移動
僅擁有一般權限無法取得核心資料，因此攻擊者會利用系統漏洞或憑證竊取工具尋找最高管理員帳號與權限。取得高階權限後，便會在企業內部網路間潛行移動，穿梭於檔案伺服器、資料庫、雲端管理平台及備份系統之間，尋找高價值的資產。
5. 資料蒐集與外洩
定位目標資料（如商業機密、客戶個人資料、研發原始碼或財務數據）後，攻擊者會進行整理、壓縮與加密，並等待最佳時機，透過隱蔽的通道（如加密 HTTPS 流量或 DNS 隧道）將這些關鍵機密秘密外洩至外部控制伺服器（C2）。
6. 維持存取
為了達到長期潛伏的目的，攻擊者會建立持久化（Persistence）機制，例如修改系統註冊表、設定排程任務或留存隱蔽後門。同時會刻意抹除系統日誌（Logs）與行為痕跡，確保即使部分攻擊路徑遭查獲，仍能持續控制目標環境。
由於攻擊者在整體流程中會極力模仿正常使用行為，甚至主動清除部分痕跡，企業無法僅靠單一工具防衛，必須同時整合分析端點、網路、身分驗證、雲端與系統日誌，才能在攻擊者橫向移動或外洩資料前及時察覺異常並予以攔截。
APT 攻擊會造成哪些風險？企業如何防範 APT 攻擊？
APT 攻擊帶來的風險通常不只是一台電腦中毒。若攻擊者長期潛伏在企業環境中，可能導致客戶個資、財務資料、合約文件、研發成果或營運機密外洩。更嚴重的是，攻擊者可能取得高權限帳號，進一步控制內部系統、竄改資料、破壞服務，或在未來發動勒索攻擊。對企業而言，這類事件不只影響資安，也會牽涉法規責任、客戶信任、營運中斷與品牌聲譽。
防範 APT 不能只依賴邊界防禦，而要採取「假設已被入侵（Assume Breach）」與「零信任（Zero Trust）」架構——透過持續驗證使用者身分、裝置與存取行為，全面降低橫向移動風險。具體防禦策略可從技術與管理層面展開：
身分與存取管理
身分是現代資安的新邊界。為了避免 APT 攻擊者利用遭竊憑證橫向移動，企業應採取以下策略來控管權限與資產：
- 落實身分識別與存取管理（IAM）、最小權限原則、多因素驗證（MFA）與特權帳號管理（PAM）
- 完成資產盤點，掌握所有主機、帳號、雲端服務與對外系統
端點防護
端點往往是 APT 攻擊突破與潛伏的主要目標。為了有效提高攻擊者的隱蔽成本並及早攔截惡意行為，企業可以從以下兩個關鍵作為著手：
- 部署端點偵測與回應（EDR）
- 持續落實弱點修補與設定基準管理
雲端與網路監控
單靠端點防禦無法覆蓋整體網路環境。為了及時察覺潛伏的隱蔽行動，企業需要建立全方位的可視性監控，並透過以下做法主動捕捉異常軌跡：
- 整合 SIEM、NDR、WAF、DDoS 防護與日誌集中管理
- 針對可疑外連、異常登入、權限提升、橫向移動與大量資料傳輸建立告警規則
除了技術工具，員工資安訓練、社交工程釣魚演練、備份策略與資安事件回應（IR）流程也很重要，因為 APT 攻擊常常是從一封看似正常的信件或一次不小心的登入開始。
APT 攻擊常見問題懶人包
關於進階持續性威脅（APT），除了瞭解其特徵與防禦策略外，許多企業與資安從業人員在實際佈署或評估風險時，也經常提出以下疑問。我們整理了最常見的 4 個核心問題為您解答：
Q1：APT 攻擊與一般勒索軟體攻擊有何不同？
兩者目的不同。勒索軟體追求「快速加密勒索」，會高調癱瘓系統；APT 攻擊則追求「長期隱蔽潛伏」，旨在秘密竊取機密資料。不過近年也有 APT 攻擊者在竊密後，最後階段才部署勒索軟體以擴大損失。
Q2：中小企業也會成為 APT 攻擊的目標嗎？
會的。中小企業常被當作「供應鏈跳板」。由於防禦相對薄弱，攻擊者會先入侵中小企業，再利用受信任的合作管道滲透進大型合作夥伴或客戶的網路。
Q3：安裝傳統防毒軟體與防火牆，還能擋住 APT 攻擊嗎？
很難完全阻擋。傳統工具依賴「已知特徵碼」過濾，但 APT 攻擊常使用客製化惡意程式、零日漏洞或合法系統指令，容易繞過傳統邊界。企業需搭配 EDR、NDR 與零信任機制。
Q4：什麼是「水坑攻擊」？它與 APT 有什麼關係？
水坑攻擊是 APT 常見的初始入侵手段。攻擊者先入侵目標員工常造訪的第三方網站（如產業論壇）並植入惡意程式，等員工造訪瀏覽時自動染毒，藉此滲透企業內部。
打造全方位資安縱深，全面遏止 APT 攻擊威脅
APT 攻擊最大的挑戰，不是單次入侵，而是攻擊者能在環境中長期潛伏而不被發現。許多重大資安事件並非發生於入侵當下，而是在數週甚至數月後才被發現資料已遭竊取。因此，企業需要建立持續監控、異常行為分析與事件回應能力，而非只依賴單一防護設備。若能把雲端架構、身分權限、端點防護、日誌監控與事件回應整合起來，就能提高發現與遏止 APT 攻擊的機會。
APT 攻擊手法持續演進，單靠單一工具或邊界防護已難以應對長期潛伏的定向威脅。想強化端點偵測與回應（EDR）、部署零信任架構，或透過 SIEM、NDR 等國際頂級技術建立全方位 APT 防禦縱深？歡迎諮詢 2ECloud 尚贏科技，由專業顧問協助您規劃雲端資安整合方案，從身分權限管理到持續監控，全面守護企業核心資產與營運環境。
【延伸閱讀】
