Pokročilé perzistentní hrozby se od běžných kybernetických útoků liší především trpělivostí, nenápadností a schopností dlouhodobě setrvat v prostředí napadené organizace. Jak ale rozpoznat, že právě vaše organizace může být pro APT skupiny zajímavým cílem, a která opatření mají při obraně skutečně nejvyšší prioritu? Druhá část série se zaměřuje na praktické hodnocení rizik, technické indikátory probíhající kampaně a návrh vícevrstvé obrany založené na ochraně identit, segmentaci prostředí, řízení dodavatelů, detekci a aktivním vyhledávání hrozeb.
kybernetický útok Advanced Persistent Threat (APT) mitigace detekce kybernetická bezpečnost kybernetická kriminalita
Pokročilé perzistentní hrozby (APT) představují jednu z nejzávažnějších forem současných kybernetických útoků. Na rozdíl od běžných kybernetických incidentů nejsou jejich cílem okamžitá provozní narušení nebo rychlé finanční zisky, ale dlouhodobá a nenápadná proniknutí do prostředí organizace s cílem získat přístup k citlivým informacím, technickému know-how, strategickým datům nebo kritické infrastruktuře. Charakteristickým rysem těchto útoků je vysoká míra trpělivosti, systematický průzkum cíle a využívání legitimních nástrojů a důvěryhodných identit, což výrazně komplikuje jejich včasnou detekci a reakci na incident.
Efektivní obrana proti APT útokům proto vyžaduje komplexní přístup, který přesahuje rámec tradičních technických bezpečnostních opatření. Klíčovým předpokladem je schopnost organizace správně vyhodnotit, zda vzhledem ke svému sektoru, spravovaným aktivům, postavení v dodavatelském řetězci nebo vazbám na kritickou infrastrukturu představuje relevantní cíl pro státem podporované nebo jinak vysoce sofistikované útočníky. Tento článek se zaměřuje na praktické metody identifikace těchto rizik, technické indikátory možného cílení a návrh obranných opatření založených na kombinaci governance, správy identit, segmentace prostředí, detekce a aktivního threat huntingu.
Otázku, zda je či potencionálně může být organizace cílem APT útoku, řeší primárně management rizik spojených s APT hrozbami. V tomto přehledu se zaměříme z praktického a auditního hlediska na tři klíčové oblasti:
- identifikaci indikací, které mohou organizaci činit atraktivním cílem,
- způsoby jejich technického ověření,
- postup pro formulování závěrů na základě těchto zjištění a návrh účinných obranných opatření.
V úvodu článku je však nezbytné zdůraznit tu skutečnost, že není možné zajistit či garantovat „absolutní“ bezpečnost v této oblasti. [1, 2] Žádný dodavatel ani interní bezpečnostní tým není schopen s vysokou mírou jistoty deklarovat, zda je organizace cílem konkrétní APT skupiny a jejích aktivit. APT kampaně se zpravidla neprojevují prostřednictvím jedné bezpečnostní události, ale jsou identifikovány až na základě dlouhodobého sledování a korelace více slabých indikátorů kompromitace, které se v prostředí objevují postupně v čase. [1, 2]
Při hodnocení hrozeb je i v případě APT útoků nutné realizovat systematickou úvahu nad tím, proč by se daná organizace mohla stát terčem cílené kybernetické kampaně. Tento proces vyžaduje identifikaci základních charakteristik organizace a jejího působení, které mohou zvyšovat její atraktivitu z pohledu útočníka.
V tomto kontextu je vhodné položit si soubor základních otázek zaměřených na povahu činnosti a postavení organizace. Patří mezi ně zejména působení v kritickém nebo regulovaném odvětví (např. energetika, zdravotnictví, průmyslová či zbrojní výroba, oblast vědy a výzkumu aj.), vlastnictví nebo zpracování cenného know‑how, technické dokumentace, výkresů, patentů či informací o dodavatelských řetězcích, dále členství v mezinárodní skupině nebo holdingu, vazby na státní správu, kritickou infrastrukturu, obranný nebo zdravotnický sektor, případně role dodavatele významnější organizace, která zvyšuje riziko zneužití v rámci útoků na dodavatelský řetězec (supply chain attacks).
Obr. 1: Orientační posouzení atraktivity organizace jako cíle APT útoku
Pokud organizace na alespoň dvě až tři z uvedených otázek odpoví kladně, je zcela realistické uvažovat o tom, že může představovat potenciální cíl aktivit pokročilých perzistentních hrozeb (APT), a tomu je vhodné odpovídajícím způsobem přizpůsobit úroveň řízení kybernetické bezpečnosti a monitoringu. [1, 2]
Zaměřme se nyní na praktické technické indikátory, které mohou naznačovat zvýšený zájem útočníka o konkrétní organizaci v kontextu rámce MITRE ATT&CK. Tyto projevy se typicky objevují v raných fázích útoku, zejména ve fázích Reconnaissance a Resource Development, a často předcházejí vlastnímu pokusu o získání počátečního přístupu (Initial Access). [3]
Mezi nejčastější pozorované indikátory patří opakované a cílené spear phishingové kampaně zaměřené na konkrétní osoby, zejména pracovníky IT oddělení nebo vrcholového managementu, což odpovídá technikám spadajícím do fáze Initial Access. Dále se mohou objevovat e‑mailové zprávy, jejichž obsah vykazuje detailní znalost interních projektů, organizační struktury nebo používaných technologií, což naznačuje předchozí aktivity ve fázi Reconnaissance. Dalšími signály jsou nevyžádané kontakty na profesních sociálních sítích, např. LinkedIn, pocházející z falešných nebo nedůvěryhodných profilů, které lze zařadit do fáze Resource Development, stejně jako systematické skenování veřejně dostupných služeb (VPN brány, OWA, Microsoft 365, RDP), typické pro aktivní průzkum cílového prostředí. Tyto aktivity dohromady indikují přípravnou fázi APT kampaně, jejímž cílem je shromáždění dostatečného množství informací pro následné vedení cíleného útoku. [1, 2]
Pokud jsou k dispozici logy ze SIEM nebo SOC prostředí, je vhodné sledovat i interní indikátory chování odpovídající technikám popsaným v rámci MITRE ATT&CK. Patří sem zejména tzv. low and slow autentizační pokusy, které spadají do oblasti Credential Access/Brute Force (T1110) – jednotlivé pokusy jsou málo časté, avšak rozložené v dlouhodobém časovém horizontu, což ztěžuje jejich detekci prahovými mechanismy. Dalším významným signálem je zneužívání legitimních systémových nástrojů (living off the land binaries), jako jsou PowerShell (Command and Scripting Interpreter, T1059), rundll32 či certutil, a to způsobem, který se odchyluje od běžných provozních vzorců. [3, 15, 16]
Z pohledu Command and Control (TA0011) jsou varovné především DNS dotazy na nově registrované domény bez reputace (Application Layer Protocol: DNS, T1071.004) a nenápadná, periodická komunikace s malým objemem přenášených dat mimo standardní pracovní dobu. Tyto charakteristiky odpovídají taktikám zaměřeným na utajení a dlouhodobou perzistenci v prostředí oběti a jsou typické pro přístup „living off the land“, který je často využíván pokročilými perzistentními hrozbami za účelem minimalizace detekční stopy a obcházení tradičních bezpečnostních kontrol. [17]
Existují rovněž indikátory naznačující, že se již nejedná pouze o průzkumnou aktivitu, ale o probíhající aktivní kampaň. Typickým projevem je kompromitace účtu bez doprovodných destruktivních akcí, jako je nasazení ransomwaru. Místo toho dochází k „tichému čtení“ nebo exfiltraci dat. Často lze pozorovat více paralelních přístupových cest do prostředí, což vylučuje možnost efektivní mitigace pouhým blokováním jedné IP adresy. Charakteristickým znakem je také účet, který zůstává aktivní po dlouhou dobu, avšak vykazuje pouze minimální a nenápadnou činnost. Tyto vzorce chování odpovídají projevům perzistence útočníka v kompromitovaném prostředí.
Jak celý scénář systematicky ověřit?
Auditní obhajitelný postup začíná analýzou dostupných zdrojů „threat intelligence“, jejichž cílem je porovnat profil organizace, zejména sektor působení a charakter klíčových aktiv, s aktuálně aktivními APT skupinami (viz např. https://attack.mitre.org/groups/ aj.) a jejich známými taktikami. Na tento krok navazuje mapování relevantních událostí a pozorovaných indikátorů na rámec MITRE ATT&CK, což umožňuje strukturovaně posoudit, zda zjištěné jevy odpovídají známým útočným technikám. Zvláštní důraz je přitom kladen na identitní vrstvu, která v současných APT kampaních představuje jeden z hlavních vektorů kompromitace i dlouhodobé perzistence. [1, 2, 3]
Další nedílnou součástí ověřování je analýza síťového chování, zejména DNS provozu, odchozí komunikace a vzdálených přístupů (např. VPN) s cílem identifikovat anomálie odpovídající technikám „Command and Control“. Tyto aktivity jsou doplněny cíleným „threat huntingem“, který je orientován primárně na chování a kontext, nikoli na statické signatury. Tento přístup zvyšuje pravděpodobnost detekce pokročilých a nenápadných technik, jež jsou typické pro aktéry využívající princip „living off the land“. [2, 3, 14, 17]
Závěrem lze shrnout, že nelze jednoznačně prokázat, že je organizace cílem konkrétní APT skupiny. Nicméně s ohledem na charakter spravovaných aktiv, působení v daném sektoru a soubor pozorovaných indikátorů může existovat reálné riziko vystavení cíleným APT technikám. Tento scénář je proto nutné zohlednit v rámci řízení kybernetických rizik a pracovat s ním jako s relevantní hrozbou na strategické i operativní úrovni bezpečnosti. [12]
Koncepce obrany proti APT Obranu proti APT útokům nelze efektivně budovat výhradně na technických prostředcích, ale na promyšlené kombinaci klíčových organizačních a bezpečnostních principů. Zásadní roli hraje správa identit, ochrana klíčových dat, oddělení prostředí podle míry rizika a schopnost včasné detekce spolu s rychlou reakcí na incidenty. Moderní APT skupiny se zpravidla chovají nenápadně, usilují o dlouhodobé setrvání v prostředí a postupné získávání důvěryhodných přístupů. Jejich cílem není okamžitá destrukce, ale systematický přístup k nejcennějším informacím. Mezi vysoce atraktivní cíle patří zejména technická dokumentace, výrobní know‑how, projektová a akviziční data, obchodní strategie a přístupy k dceřiným společnostem, které mají pro APT aktéry zásadní hodnotu.
1. Základní filozofie obrany
Základní filozofie obrany by neměla spočívat v absolutní snaze zabránit každému kybernetickému útoku, ale v omezení schopnosti útočníka snadno se dostat ke kritickým datům organizace, v jeho včasné detekci a v maximálním omezení pohybu v prostředí. Obranná architektura proto musí systematicky snižovat pravděpodobnost úspěšného vstupu, omezovat laterální pohyb, odděleně chránit nejcennější systémy a současně generovat dostatek kvalitních logů a signálů pro rychlé odhalení incidentu.
V praxi to znamená odklon od tradičního, na perimetr zaměřeného modelu založeného na předpokladu důvěry po vstupu do sítě k modernímu přístupu, ve kterém je důvěra průběžně a systematicky ověřována. Samotná přítomnost např. uživatele uvnitř interní sítě již neznamená automatickou všeobecnou důvěryhodnost, ale každý přístup musí být posuzován v kontextu rizika. [1, 2]
2. Identifikace nejcennějších aktiv
Každá efektivní bezpečnostní strategie musí vycházet z jasné identifikace aktiv, která mají pro organizaci nejvyšší hodnotu, protože bez tohoto kroku hrozí, že investice do obecných opatření nepovedou k odpovídající ochraně klíčových zájmů organizace. Mezi nejcennější aktiva lze zařadit zejména správu identit a privilegované účty, e‑mailové a kolaborační platformy, technická data včetně výkresů, CAD, PLM a projektové dokumentace, ERP systémy a ekonomická data, výrobní a provozní technologie, vzdálené přístupy dodavatelů a rovněž citlivá data na úrovni vedení společnosti, akvizic, právních agend a strategického řízení.
Z pohledu útočníka přitom často nedochází k přímému útoku na nejlépe chráněné systémy, ale k hledání nejsnazší cesty, která k nim vede. Typickými vektory jsou kompromitované e‑mailové schránky manažerů, účty externích partnerů, nedostatečně řízené servisní účty nebo špatně oddělené sdílené úložiště dokumentace. Z tohoto důvodu je nezbytné opustit vnímání bezpečnosti výhradně jako ochrany IT infrastruktury a řídit ji primárně jako ochranu konkrétních hodnot a procesů.
3. Identita jako výchozí bod bezpečnostní architektury
Identity představují nejkritičtější vrstvu kybernetické obrany organizace, protože moderní útočníci často nepotřebují k útoku tradiční malware, ale stačí jim platné přihlašovací údaje, převzaté relace, zneužité tokeny nebo nedostatečně řízené privilegované účty. Každá identita proto musí mít jednoznačně určeného vlastníka, jasně definovaný účel, odpovídající úroveň oprávnění a řízený životní cyklus. Ten musí bezpodmínečně zahrnovat odstraňování neaktivních účtů, kontrolu servisních identit, oddělení běžných a privilegovaných rolí, plošné nasazení vícefaktorového ověřování bez nadbytečných výjimek, blokaci zastaralých autentizačních protokolů a přísnou správu administrátorských přístupů. [11, 12, 14]
V prostředí holdingů je pak nezbytné nahlížet na identity konzistentně napříč celou skupinou, protože útočníci často využívají slabší dceřinou společnost jako vstupní bod pro další laterální postup. Nejednotná správa identit napříč organizací vytváří obtížně detekovatelné slabiny, které mohou zásadně snížit celkovou úroveň bezpečnosti. Z tohoto důvodu je vhodné zavést jednotný model správy identit, schvalování přístupů, pravidelné recertifikace oprávnění a řízení privilegovaných účtů se zvláštním důrazem na management, finanční role, IT administrátory, správce cloudových služeb a uživatele s přístupem k citlivým datům.
4. E‑mail jako primární vstupní vektor útoku
E‑mail a kolaborační platformy patří mezi nejkritičtější vrstvy obrany, protože většina cílených útoků dnes začíná zdánlivě důvěryhodnou e-mailovou zprávou. Útok typicky vede uživatele k otevření přílohy, kliknutí na odkaz nebo zadání přihlašovacích údajů na podvržené stránce, nikoli k okamžitému technickému průniku. Z tohoto důvodu nestačí základní antispamová ochrana a je nutné zavést vícevrstvý přístup zahrnující sandboxing příloh, kontrolu odkazů, detekci spoofingu, důsledné nastavení DMARC, SPF a DKIM, blokaci rizikových formátů a systematické bezpečnostní vzdělávání uživatelů.
Efektivní osvěta by měla být cílená podle rizika jednotlivých rolí, protože různé skupiny čelí odlišným typům útoků. Jiným scénářům jsou vystaveni členové vedení, ekonomická oddělení, nákup, technické týmy či IT administrátoři, a tomu by měly odpovídat i případné phishingové simulace, které může organizace aplikovat jako možnou edukaci proti uvedeným útokům. U managementu je vhodné se zaměřit na falešné právní dokumenty, investiční témata a komunikaci s partnery, zatímco u technických týmů na útoky maskované jako technická dokumentace, projektové portály či žádosti o přístup od dodavatelů.
Obr. 2: Vrstvy Purdue modelu a oddělení IT a OT prostředí
5. Ochrana citlivých aktiv
Data a informace představují jedno z nejcennějších aktiv organizace, neboť jejich kompromitace může mít dlouhodobý a obtížně napravitelný dopad na konkurenceschopnost celé organizace. Únik např. výkresů, projektové dokumentace či technologického know‑how nelze vnímat pouze jako běžný ICT incident, ale jako strategickou ztrátu s přímými dopady na byznys. Inženýrské prostředí pro technická data vyžaduje vyšší úroveň ochrany než běžná úložiště. Přístup musí být oddělený od kancelářských identit, jen z důvěryhodných zařízení, s pravidelnými audity a omezením exportu mimo organizaci. Všechny akce mají být logovány a monitorovány, segmentace podle rolí chrání citlivá data. Externí partneři smějí mít pouze dočasné, účelové a kontrolované přístupy.
Dalším typickým příkladem může být správa dat pacientů při vývoji implantátů v biomedicínském inženýrství. Citlivé informace, jako jsou výsledky klinických studií nebo měření zdravotních parametrů, mají být přístupné pouze autorizovaným osobám. Každý přístup k těmto údajům by měl být zaznamenán, export mimo schválenou infrastrukturu má být striktně omezen a externí konzultanti získávají ke konkrétním datovým sadám časově omezenou autorizaci po předchozím bezpečnostním auditu.
Základními principy této ochrany jsou jasná klasifikace technické dokumentace, oddělení běžných kancelářských identit od přístupů k technickým datům, omezení přístupu pouze z důvěryhodných a řízených zařízení, detailní audit přístupů a striktní kontrola exportu či sdílení dat mimo organizaci. Přístup k technickým datům by měl vycházet z principu „need to know“ a být pravidelně přehodnocován. Centrální úložiště výkresů a dokumentace je třeba chránit více než jen oprávněním ke složkám. Doporučeno je doplnění silného logování, detekce neobvyklých objemů stahování, upozornění na hromadné exporty dat, omezení přístupů z neřízených zařízení a důsledná segmentace přístupů podle role uživatele.
6. Segmentace prostředí musí odpovídat skutečnému riziku
Síťová segmentace je v mnoha organizacích implementována spíše formálně než funkčně, kdy sice existuje na úrovni návrhu, avšak v praxi zůstává nadměrně propustná. Segmentace by proto neměla vycházet pouze z technologického členění infrastruktury, ale především z byznysového rizika a hodnoty chráněných aktiv.
Jako naprosté minimum lze vnímat oddělení běžné kancelářské/ uživatelské ICT, prostředí managementu a citlivých rolí, engineering a projektová data, výrobní a OT systémy, externí přístupy dodavatelů a samostatné administrátorské zóny. Cílem segmentace je zpomalit laterální pohyb útočníka, omezit rozsah kompromitace a vytvořit více bodů pro detekci podezřelé aktivity. Zvláštní důraz je nutné klást na oddělení administrátorského prostředí, kdy správa kritických systémů nesmí probíhat ze stejných zařízení, která jsou používána pro běžnou uživatelskou činnost, což by představovalo zbytečně vysoké bezpečnostní riziko.
7. Dodavatelé a třetí strany jako kritický vstupní bod
Významná část bezpečnostního rizika dnes nevzniká přímým útokem na organizaci, ale prostřednictvím dodavatelů, servisních firem, integrátorů, konzultantů či partnerských subjektů, a proto je nutné považovat bezpečnost třetích stran za nedílnou součást celkové obranné strategie. Každý externí přístup musí být jmenovitý, časově omezený, schvalovaný, auditovaný a technicky oddělený od interních přístupů, přičemž zvláštní riziko představují sdílené účty, trvalé VPN bez přehledu, slabě řízené servisní identity a nejasné rozdělení odpovědností mezi interním IT a dodavatelem.
Externí přístup by měl být standardně považován za nedůvěryhodný, dokud není splněn jasně definovaný bezpečnostní rámec zahrnující nejen smluvní ujednání, ale i technická a procesní opatření, jako je vícefaktorové ověřování, omezený rozsah oprávnění, přístup přes vyhrazený vstupní bod, monitoring relací a pravidelné přehodnocování oprávněnosti a nutnosti daného přístupu. [11, 12, 14]
8. OT a výrobní prostředí vyžadují odlišný bezpečnostní přístup
V organizacích s výrobními nebo provozními technologiemi není vhodné přenášet bezpečnostní modely běžného kancelářského IT do OT prostředí bez úprav. Výrobní systémy mají odlišné priority, kde vedle důvěrnosti hraje zásadní roli dostupnost, kontinuita provozu a fyzická bezpečnost technologií. To však neznamená, že by OT prostředí mělo zůstat mimo bezpečnostní strategii organizace, protože útočník může IT infrastrukturu využít jako vstupní bod k výrobním systémům nebo k citlivým provozním datům.
Pro návrh bezpečné architektury je v OT prostředí běžně využíván Purdue Enterprise Reference Architecture Model [22], který strukturuje průmyslové systémy do jednotlivých vrstev od fyzických procesů až po podnikovou IT úroveň. Tento model umožňuje jasně definovat hranice jednotlivých zón, jejich bezpečnostní požadavky a povolené komunikační toky. Klíčovým principem je oddělení podnikové IT vrstvy a výrobní OT vrstvy, přičemž komunikace mezi těmito systémy by měla být řízena přes definované přechodové zóny a bezpečnostní prvky.
Z pohledu Purdue modelu představují nižší úrovně (úrovně řízení a fyzického procesu) prostředí s nejvyššími nároky na dostupnost a stabilitu, kde nejsou žádoucí časté změny ani běžné IT bezpečnostní mechanismy, jako jsou automatické aktualizace či aktivní skenování. Naopak vyšší vrstvy modelu zahrnující výrobní dohled, plánování a podnikové informační systémy mohou využívat standardní bezpečnostní nástroje IT prostředí. Správně navržená architektura proto respektuje rozdílné charakteristiky jednotlivých vrstev a zabraňuje jejich nekontrolovanému propojení.
Z popsaných důvodů je nezbytné jasné oddělení IT a OT prostředí, řízené a monitorované komunikační toky mezi jednotlivými úrovněmi, omezení vzdálených servisních přístupů a systematická evidence OT aktiv. Přechodová zóna mezi IT a OT (označovaná jako DMZ dle Purdue modelu) hraje klíčovou roli při ochraně výrobních systémů před šířením incidentů z kancelářské infrastruktury.
Součástí obrany musejí být také připravené krizové scénáře pro situace, kdy je nutné rychle omezit nebo zcela odpojit část komunikace mezi jednotlivými vrstvami. V OT prostředí je zásadní mít jednoznačně určeného vlastníka každého systému, předem definovaná pravidla pro změnové řízení, vzdálenou správu a postupy obnovy provozu po bezpečnostním incidentu, přičemž tyto procesy musejí respektovat hierarchii a vazby jednotlivých úrovní Purdue modelu. [22]
9. Bez detekce není obrana úplná
Ani dobře navržené a zabezpečené prostředí nelze považovat za imunní vůči kompromitaci, proto je nutné akceptovat, že samotná prevence není dostačující. Klíčovým faktorem úspěšné obrany je schopnost útok včas odhalit, zejména prostřednictvím posílených detekčních mechanismů v oblasti identit, koncových stanic a síťově‑aplikačních událostí.
Organizace musí být schopna identifikovat neobvyklá přihlášení, nelegitimní změny oprávnění, projevy laterálního pohybu, spouštění rizikových nástrojů, anomálie při práci se soubory a nestandardní aktivity externích partnerů. Zásadní přitom není pouze sběr logů, ale jejich kontextové vyhodnocování, bez něhož se logování redukuje na pouhou archivaci dat. Pokud organizace provozuje vlastní SOC nebo využívá externí dohled, měly by být detekční „use‑casy“ zaměřeny zejména na kompromitaci identit, převzetí e‑mailových účtů, zneužití privilegovaných přístupů, hromadný přístup k technické dokumentaci a podezřelé externí relace.
10. Threat hunting a krizová připravenost
APT útoky se zpravidla neprojevují jedním jednoznačným bezpečnostním alarmem, ale spíše sérií dílčích a na první pohled nenápadných signálů, které teprve v souhrnu indikují cílenou a dlouhodobou aktivitu útočníka. Z tohoto důvodu nelze „threat hunting“ [2, 3, 14] považovat za nadstandardní schopnost, ale za nezbytnou součást obrany v prostředích s vysokou hodnotou dat. „Threat hunting“ by měl být systematicky zaměřen na detekci laterálního pohybu, anomálií v přístupových vzorcích, netypického chování administrátorských účtů, podezřelých PowerShellových či skriptovacích aktivit a neobvyklé práce s citlivými daty mimo běžné provozní chování. Stejně důležitá je i organizační připravenost na potvrzený incident, která zahrnuje jasně definované rozhodovací pravomoci, komunikační role, odpovědnosti za izolaci systémů, schvalování mimořádných opatření, řešení právních dopadů a informování vedení. Pokud tyto procesy nejsou připraveny předem, organizace v krizové situaci ztrácí cenný čas, který je při řešení APT incidentů rozhodujícím faktorem. [2, 3, 14, 16]
11. Governance a odpovědnost vedení
Obranu proti APT nelze efektivně realizovat pouze jako technický nebo IT projekt, ale je nutné ji řídit jako integrální součást správy a řízení organizace s aktivní podporou vedení. [12] Management by měl být pravidelně informován nejen o počtu bezpečnostních incidentů, ale především o nejcennějších aktivech, hlavních slabinách, klíčových závislostech (např. na dodavatelích, podpoře aj.), schopnosti organizace reagovat na incidenty a stavu otevřených bezpečnostních opatření.
Zásadním aspektem řízení kybernetické bezpečnosti je způsob, jakým jsou bezpečnostní informace a rizika komunikována směrem k vrcholovému vedení. Z perspektivy governance je žádoucí, aby tato komunikace nebyla vedena primárně na úrovni technických prostředků (tj. seznamu nasazených nástrojů), ale aby reflektovala dopady na podnikové cíle, procesy a odpovědnost managementu. Prakticky to znamená převést bezpečnostní témata do podoby scénářů s popisem pravděpodobných následků i s měřitelnými parametry dopadu. Příklady zahrnují únik technické či výrobní dokumentace s následným ohrožením konkurenční výhody, kompromitaci identity člena vedení s potenciálem podvodu nebo reputační újmy, případně výpadek kritického provozního systému. Konkrétně může jít o znemožní vydávání výrobních příkazů, potvrzování operací a zajištění dohledatelnosti, a může vyústit v řízené zastavení části výroby nebo přechod na manuální režim s vyšší chybovostí (SCADA).
Takto koncipovaná komunikace významně přispívá k tomu, že bezpečnostní opatření jsou nejen srozumitelná, ale rovněž strategicky podporovaná, efektivně řízená a odpovídajícím způsobem financovaná.
12. Praktický návrh priorit obrany
Při stanovení priorit posilování obrany lze doporučit postupování po jasně definovaných vlnách, které reflektují jak míru rizika, tak rychlost dosažitelného bezpečnostního přínosu.
V první vlně je vhodné stabilizovat oblast identit, zejména plošným zavedením vícefaktorového ověřování bez nadbytečných výjimek, vypnutím zastaralých autentizačních mechanismů, získáním přehledu nad privilegovanými účty, kontrolou servisních a neaktivních identit a zpřísněním politik podmíněného přístupu. Současně by měla být posílena e‑mailová bezpečnost, která představuje nejrychlejší a nejefektivnější způsob snížení pravděpodobnosti úspěšného vstupu útočníka do prostředí. [11, 12, 14]
Druhá fáze by měla být zaměřena na ochranu technických dat a efektivní segmentaci prostředí se zvláštním důrazem na zabezpečení aktiv s nejvyšší strategickou hodnotou pro organizaci. Tento proces zahrnuje klasifikaci technických, biomedicínských i projektových dat, rozčlenění přístupových zón podle úrovně rizika, systematické řízení externích přístupů a detailní audit práce s citlivými dokumenty včetně monitorování neobvyklých vzorců chování
Ve třetí vlně by mělo následovat systematické rozvíjení detekčních schopností, aktivního vyhledávání hrozeb (threat hunting) a krizové připravenosti. Cílem této fáze je posunout organizaci do stavu, kdy je schopna nejen preventivně bránit vstupu útočníka, ale také včas rozpoznat začínající kompromitaci aktiv, správně ji vyhodnotit a rychle koordinovaně reagovat. [2, 3, 14] Přínos třetí vlny se nejzřetelněji projevuje v prostředí, kde protivník využívá dlouhodobé, cílené a státem podporované kampaně. Z tohoto důvodu následující část uvádí příklady a poznatky k útokům na nevládní organizace v České republice, které ilustrují typické postupy APT aktérů.
Bezpečnostní opatření vůči vybraným APT útokům a skupinám
V následující části článku jsou prezentovány možné kroky vedoucí ke snížení dopadu vybraných APT útoků a skupin. Jak již bylo uvedeno, není reálné tyto útoky zcela eliminovat, nicméně dosažitelným cílem obrany je jejich výrazné omezení, zpomalení postupu, a především včasná detekce. Smyslem ochranných opatření je zvýšit náklady útočníka, snížit efektivitu jeho operací a zkrátit dobu, po kterou je schopen se v prostředí organizace pohybovat nepozorovaně. [4, 5, 6]
Útoky APT29 (Cozy Bear nebo Midnight Blizzard) a APT31 (Zirconium nebo Judgment Panda) [4, 5, 6]
Obě uvedené skupiny typicky využívají kombinaci cíleného phishingu, krádeže přihlašovacích údajů a zneužívání důvěryhodných služeb či legitimních nástrojů infrastruktury. Tyto techniky jsou doplněny důrazem na dlouhodobou perzistenci namísto rychlé a destruktivní fáze útoku. Útočníci se záměrně vyhýbají aktivitám, které by mohly vyvolat okamžitou reakci bezpečnostních mechanismů nebo provozní výpadky, naopak preferují nenápadné a obtížně odhalitelné způsoby přístupu. Strategickým cílem kampaní APT29 a APT31 je především tichá kybernetická špionáž, nikoli narušení dostupnosti či integrity systémů. [4, 5, 6]
Obrana proti APT29 [4, 5]
Aktivity útočníků jsou primárně zaměřeny na jednotlivé identity. Z toho vyplývají klíčová obranná opatření. Konkrétně je nezbytné plošně vynutit vícefaktorové ověřování pro všechny identity a přístupové scénáře, zakázat používání zastaralých a slabých autentizačních protokolů a pravidelně provádět revize neaktivních, privilegovaných a servisních účtů. Současně je vhodné uplatňovat podmíněný přístup založený na kontextu, zejména s ohledem na geografickou polohu, stav a důvěryhodnost zařízení s cílem minimalizovat riziko zneužití kompromitovaných přihlašovacích údajů. [11, 12, 14]
Pro zvýšení odolnosti vůči e‑mailově šířeným hrozbám či phishingovým kampaním je vhodné využívat sandboxové mechanismy pro analýzu příloh, ve výchozím nastavení je požadováno blokování skriptových a HTML příloh v e-mailové komunikaci. Zároveň je nastavena politika DMARC v režimu „reject“, která zajišťuje odmítnutí e-mailů neprocházejících kontrolou SPF a DKIM.
Nedílnou součástí ochrany je pravidelné provádění phishingových simulací zaměřených na zaměstnance a aktivace detekčních mechanismů na koncových bodech datové sítě, např. Microsoft Defender. Současně je doporučeno nasazení EDR nástrojů s behaviorální detekcí, systematické monitorování aktivit nástrojů, jako jsou PowerShell, WMI a další systémové utility, a realizace aktivního threat huntingu strukturovaného podle rámce MITRE ATT&CK. [2, 3, 14, 16]
Obrana proti APT31 [6]
Nepřímé útoky jsou často zaměřeny na periferní aktiva cílové organizace. Typicky dochází ke kompromitaci dodavatelů, poskytovatelů spravovaných služeb, dceřiných společností a rovněž izolovaných nebo air-gap systémů, které bývají vnímány jako méně exponované, avšak představují významný vektor pro následnou infiltraci. Je nezbytné vyžadovat vysokou úroveň bezpečnostních standardů v rámci celého dodavatelského řetězce, systematicky provádět bezpečnostní prověrky dodavatelů a konzistentně uplatňovat principy architektury Zero Trust pro veškeré externí přístupy včetně striktního oddělení identit a síťových segmentů partnerů od interní infrastruktury organizace. [11, 12, 14]
Obrana proti APT10 (Stone Panda, známá v kontextu kampaně Cloud Hopper) [7, 8, 9]
Obrana proti skupině APT10 vyžaduje vícevrstvý a systematický přístup kombinující prevenci, detekci i rychlou reakci na incidenty, neboť tato hrozba se vyznačuje dlouhodobou perzistencí, cílenými spear-phishingovými kampaněmi a zneužíváním přístupů u poskytovatelů řízených IT služeb. Klíčovou roli hraje důsledná správa identit a přístupů (IAM) včetně vícefaktorového ověřování, principu nejmenších oprávnění a pravidelného auditu účtů s privilegovanými právy. Neméně důležitá je pokročilá monitorovací schopnost založená na korelaci událostí ze SIEM/XDR platforem se zaměřením na detekci nežádoucího laterálního pohybu, zneužití legitimních administračních nástrojů a nestandardní komunikace se vzdálenými servery. Efektivní obrana proti APT10 zároveň předpokládá vysokou úroveň bezpečnostního povědomí zaměstnanců, zavedené scénáře řízení incidentů a pravidelné testování odolnosti organizace prostřednictvím cvičení typu red team/blue team. [7, 8, 9, 11, 12, 14]
Obrana proti APT28 (Fancy Bear) [10]
Obrana proti skupině APT28 musí reflektovat její vysokou technickou vyspělost, štědrou státní podporu a zaměření na zpravodajsky hodnotné cíle, přičemž typickými znaky jsou sofistikované kampaně sociálního inženýrství, rychlé využívání zero‑day zranitelností a kombinace kybernetických a informačních operací. Základním pilířem ochrany je důsledné řízení zranitelností a včasná aplikace bezpečnostních aktualizací, zejména u perimetrických služeb, e‑mailové infrastruktury a klientských stanic, které skupina dlouhodobě zneužívá jako vstupní bod. Detekční schopnosti by měly být orientovány na behaviorální analýzu, identifikaci anomálií v autentizačních tocích a sledování zneužití legitimních nástrojů living‑off‑the‑land, jež APT28 často využívá ke skrytí své aktivity. Nedílnou součástí účinné obrany je také strategické využití „threat intelligence“, pravidelné testování připravenosti na incidenty a úzká spolupráce technických, bezpečnostních a komunikačních týmů, neboť cílem APT28 nebývá pouze kompromitace systémů, ale i ovlivňování rozhodovacích procesů a reputace organizací. [1, 2, 10, 14]
Závěr
Veřejně dostupné zdroje potvrzují, že Česká republika byla v posledních letech cílem státem podporovaných APT kampaní, zejména ze strany skupiny APT28 spojované s GRU. [23] Poslední útok této skupiny byl oznámen v dubnu 2026, kdy se cílem útoků staly routery TP-Link. [27]
Česká diplomacie v roce 2024 uvedla, že „některé české instituce“ byly od roku 2023 napadeny prostřednictvím zneužití zranitelnosti Microsoft Outlook, avšak konkrétní oběti nezveřejnila. [23] Současně mezinárodní analýzy ukazují, že APT28 cílí nejen na státní správu a politické subjekty, ale i na nadace a spolky, tedy na organizace blízké neziskovému sektoru. [24]
Výroční zprávy NÚKIB a BIS zároveň potvrzují pokračující aktivitu státem podporovaných aktérů proti českým institucím, ale cíle popisují převážně agregovaně po sektorech. [25, 26] Pro privátní sektor v ČR tedy platí, že jeho ohrožení APT kampaněmi je z hlediska typu cílení reálné, avšak veřejné zdroje většinou neumožňují jmenovitě doložit konkrétní české nevládní organizace jako oběti těchto operací. [23, 25, 26]
APT útoky představují dlouhodobou a vysoce adaptivní hrozbu, proti níž nelze budovat obranu pouze prostřednictvím jednotlivých bezpečnostních technologií. Úspěšná ochrana vyžaduje systematický přístup založený na identifikaci nejcennějších aktiv organizace, pochopení vlastního rizikového profilu a schopnosti průběžně vyhodnocovat změny v útočném prostředí. Stejně důležitá jako prevence je schopnost včasné detekce, korelace slabých indikátorů kompromitace a rychlé reakce na incidenty, zejména v situacích, kdy útočník usiluje o dlouhodobou perzistenci a nenápadný pohyb v infrastruktuře.
Z praktického pohledu se jako klíčové oblasti obrany ukazují zejména správa identit a privilegovaných účtů, ochrana e-mailové komunikace, segmentace prostředí podle hodnoty chráněných aktiv, řízení přístupů třetích stran a systematické využívání threat intelligence. Organizace, které disponují strategicky významnými daty, technickou dokumentací, výrobním know-how nebo vazbami na kritické sektory, by měly s rizikem APT kampaní aktivně počítat v rámci svého řízení kybernetických rizik. Cílem obrany totiž není dosáhnout absolutní bezpečnosti, ale maximálně zvýšit náklady útočníka, zkrátit dobu jeho nepozorované přítomnosti a minimalizovat dopad případné kompromitace.
V třetí části článku bude pozornost zaměřena na sektor zdravotnictví, který z hlediska APT útoků představuje významný zdroj dat (např. o konkrétních osobách, zdravotnických zařízeních, zranitelnostech sytému či zdravotechniky aj.), jejichž analýza může poskytnout útočníkovi zdroj informací pro špionážní, kriminální, hybridní i geopolitické působení s přesahem do dalších operačních domén.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
Tato e-mailová adresa je chráněna před spamboty. Pro její zobrazení musíte mít povolen Javascript.
POUŽITÉ ZDROJE:
[ 1 ] ENISA. ENISA Threat Landscape 2023. October 2023. [cit. 2026-04-19]. Dostupné z: https://www.enisa.europa.eu/sites/default/files/publications/ENISA%20Threat%20Landscape%202023.pdf
[ 2 ] MANDIANT (Google Cloud). M‑Trends 2024: Our View from the Frontlines. 23 April 2024. [cit. 2026-04-19]. Dostupné z: https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2024
[ 3 ] MITRE. MITRE ATT&CK® Knowledge Base (Enterprise). [cit. 2026-04-19]. Dostupné z: https://attack.mitre.org
[ 4 ] MICROSOFT Threat Intelligence. Midnight Blizzard: Guidance for responders on nation-state attack. 25 January 2024. [cit. 2026-04-19]. Dostupné z: https://www.microsoft.com/en-us/security/blog/2024/01/25/midnight-blizzard-guidance-for-responders-on-nation-state-attack/
[ 5 ] MITRE. APT29 (G0016) – Group. [cit. 2026-04-19]. Dostupné z: https://attack.mitre.org/groups/G0016/
[ 6 ] MITRE. ZIRCONIUM / APT31 (G0128) – Group. [cit. 2026-04-19]. Dostupné z: https://attack.mitre.org/groups/G0128/
[ 7 ] MITRE. menuPass / APT10 (G0045) – Group. [cit. 2026-04-22]. Dostupné z: https://attack.mitre.org/groups/G0045/
[ 8 ] NCSC (UK). Alert: APT10 continues to target UK organisations across wide range of sectors (advisory v2). 20 December 2018. [cit. 2026-04-19]. Dostupné z: https://www.ncsc.gov.uk/files/APT10%20advisory%20v2.pdf
[ 9 ] PwC UK; BAE Systems. Operation Cloud Hopper. April 2017. [cit. 2026-04-19]. Dostupné z: https://www.pwc.co.uk/cyber-security/pdf/pwc-uk-operation-cloud-hopper-report-april-2017.pdf
[ 10 ] MITRE. APT28 (G0007) – Group. [cit. 2026-04-19]. Dostupné z: https://attack.mitre.org/groups/G0007/
[ 11 ] NIST. SP 800-207: Zero Trust Architecture. August 2020. [cit. 2026-04-19]. Dostupné z: https://csrc.nist.gov/pubs/sp/800/207/final
[ 12 ] NIST. The NIST Cybersecurity Framework (CSF) 2.0 (CSWP 29). 26 February 2024. [cit. 2026-04-19]. Dostupné z: https://csrc.nist.gov/pubs/cswp/29/the-nist-cybersecurity-framework-csf-20/final
[ 13 ] CISA. Known Exploited Vulnerabilities (KEV) Catalog. [cit. 2026-04-19]. Dostupné z: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
[ 14 ] MICROSOFT. Microsoft Digital Defense Report 2024. [cit. 2026-04-19]. Dostupné z: https://www.microsoft.com/en-us/security/security-insider/threat-landscape/microsoft-digital-defense-report-2024
[ 15 ] MITRE. Brute Force (T1110) – Technique. Dostupné z: https://attack.mitre.org/techniques/T1110/
[ 16 ] MITRE. Command and Scripting Interpreter (T1059) – Technique. [cit. 2026-04-21]. Dostupné z: https://attack.mitre.org/techniques/T1059/
[ 17 ] MITRE. Application Layer Protocol: DNS (T1071.004) – Technique. [cit. 2026-04-21]. Dostupné z: https://attack.mitre.org/techniques/T1071/004/
[ 18 ] MICROSOFT Support. What is Block External Images in my settings? [cit. 2026-04-21]. Dostupné z: https://support.microsoft.com/en-us/office/what-is-block-external-images-in-my-settings-8fbbe9d2-1e41-4191-8ba9-88077bd9775e
[ 19 ] PROTON. Pixel tracking: How to tell which emails track your activity. 22 November 2024. [cit. 2026-04-21]. Dostupné z: https://proton.me/blog/pixel-tracking
[ 20 ] MICROSOFT Learn. Cloudmersive CDR (Connector). [cit. 2026-04-21]. Dostupné z: https://learn.microsoft.com/en-us/connectors/cloudmersivecdr/
[ 21 ] CHECK POINT. What is Content Disarm and Reconstruction (CDR)? [cit. 2026-04-21]. Dostupné z: https://www.checkpoint.com/cyber-hub/threat-prevention/what-is-content-disarm-and-reconstruction-cdr/
[ 22 ] PURDUE MODEL. What is the Purdue Model [cit. 2026-04-21]. Dostupné z: https://www.pera.net/Pera/Wha_PERA_Ref_Model.html (cit. 22. 4. 2026)
[ 23 ] CZECH REPUBLIC. Ministry of Foreign Affairs of the Czech Republic. Statement of the MFA on the Cyberattacks Carried by Russian Actor APT28 on Czechia [online]. 3. 5. 2024 [cit. 2026-04-21]. Dostupné z: https://mzv.gov.cz/jnp/en/issues_and_press/press_releases/statement_of_the_mfa_on_the_cyberattacks.html
[ 24 ] LAKSHMANAN, Ravie. Microsoft Outlook Flaw Exploited by Russia’s APT28 to Hack Czech, German Entities. The Hacker News [online]. 4. 5. 2024 [cit. 2026-04-21]. Dostupné z: https://thehackernews.com/2024/05/microsoft-outlook-flaw-exploited-by.html
[ 25 ] NÁRODNÍ ÚŘAD PRO KYBERNETICKOU A INFORMAČNÍ BEZPEČNOST. 2024 Report on the State of Cybersecurity in the Czech Republic [online]. Brno: NÚKIB, 2025 [cit. 2026-04-21]. Dostupné z: https://nukib.gov.cz/download/publications_en/2024_Report_on_the_State_of_Cybersecurity_in_the_Czech_Republic.pdf
[ 26 ] BEZPEČNOSTNÍ INFORMAČNÍ SLUŽBA. Annual Report of the Security Information Service for 2024 [online]. Praha: BIS, 2025 [cit. 2026-04-21]. Dostupné z: https://www.bis.cz/public/site/bis.cz/content/vyrocni-zpravy/2024-vz-aj.pdf
[ 27 ] NÁRODNÍ ÚŘAD PRO KYBERNETICKOU A INFORMAČNÍ BEZPEČNOST. 2024 Routery TP-Link kompromitovány ruským státním aktérem APT28 [online]. Brno: NÚKIB, 2026 [cit. 2026-04-30]. Dostupné z: https://nukib.gov.cz/cs/infoservis/aktuality/2394-routery-tp-link-kompromitovany-ruskym-statnim-akterem-apt28/
