⛓️ Cyber Kill Chain

Атака как цепочка

Cyber Kill Chain — модель компании Lockheed Martin, описывающая атаку как последовательность из семи этапов. Злоумышленнику нужно пройти их все.

При чём тут безопасность: чтобы остановить атаку, достаточно разорвать цепочку на любом звене. Чем раньше, тем меньше ущерб.

Этапы 1–3

1. Разведка — сбор информации о цели: сотрудники, почта, открытые службы.
2. Вооружение — подготовка средства атаки, например документа с вредоносным макросом.
3. Доставка — передача жертве: письмо, заражённый сайт, флешка.

Этапы 4–7

4. Эксплуатация — срабатывание уязвимости или действие пользователя.
5. Установка — закрепление вредоносной программы в системе.
6. Управление (Command & Control, C2) — связь с сервером злоумышленника.
7. Действия по цели — кража данных, шифрование, саботаж.

Защита на каждом этапе

• Разведка: минимум лишней информации о компании в открытом доступе.
• Доставка: фильтрация почты, обучение сотрудников.
• Эксплуатация: обновления, блокировка макросов.
• Установка: EDR, контроль запуска программ.
• C2: фильтрация DNS и исходящего трафика.
• Действия: сегментация, DLP, резервные копии.

Ограничения модели

Kill Chain хорошо описывает внешние атаки с вредоносным ПО. Хуже — атаки инсайдеров, облачные атаки и действия внутри сети после взлома.

Поэтому её дополняют более подробной базой MITRE ATT&CK. О ней и о модели Diamond — в уроке о фреймворках.

Главное за урок

1. Kill Chain — 7 этапов: от разведки до действий по цели.
2. Разорвать цепочку можно на любом этапе, лучше — раньше.
3. Модель дополняют MITRE ATT&CK для деталей внутри сети.

Источники

• Lockheed Martin: Cyber Kill Chain
• MITRE ATT&CK
• MITRE ATT&CK: разведка (TA0043)