Cyber kill chain

Cyber kill chain (także intrusion kill chain) – model opisujący przebieg cyberataku jako sekwencję następujących po sobie faz, od rozpoznania celu po realizację właściwego celu ataku, opracowany w 2011 roku przez analityków koncernu Lockheed Martin^[1]. Koncepcja stanowi adaptację wojskowego pojęcia kill chain („łańcucha rażenia”) do dziedziny bezpieczeństwa teleinformatycznego: skoro napastnik musi przejść przez kolejne ogniwa łańcucha, przerwanie ataku na dowolnym, możliwie wczesnym etapie udaremnia całą operację^[2][3]. Model zyskał szeroką popularność w branży bezpieczeństwa, choć bywa też krytykowany za koncentrację na obronie obwodowej i złośliwym oprogramowaniu^[4].

W terminologii wojskowej kill chain opisuje zintegrowany proces rażenia celu – od jego zidentyfikowania i zlokalizowania, przez śledzenie i wybór środka rażenia, po wykonanie uderzenia i ocenę skutków; przerwanie dowolnego ogniwa zatrzymuje cały proces^[3]. W 2011 roku Eric Hutchins, Michael Cloppert i Rohan Amin z Lockheed Martin przenieśli tę koncepcję na grunt ochrony sieci komputerowych, publikując model „intrusion kill chain” jako element strategii obrony sterowanej analizą działań przeciwnika (intelligence-driven defense); autorzy wskazywali, że rozłożenie ataku na fazy pozwala obrońcom dobrać środki zaradcze do każdej z nich i analizować kampanie zaawansowanych trwałych zagrożeń (APT)^[1]. Model szybko przyjął się w organizacjach zajmujących się bezpieczeństwem danych jako rama opisu faz cyberataków^[2]; posłużył m.in. senackiej komisji Stanów Zjednoczonych do analizy wycieku danych z sieci handlowej Target Corporation z 2013 roku, w której wskazano etapy, na których zabezpieczenia nie powstrzymały ani nie wykryły postępów ataku^[5].

Według modelu Lockheed Martin atak przebiega w siedmiu fazach^[1][6][7]:

1. Rozpoznanie (reconnaissance) – napastnik wybiera cel i zbiera o nim informacje, m.in. metodami białego wywiadu, identyfikując potencjalne podatności sieci i pracowników^[8],
2. uzbrojenie (weaponization) – przygotowanie narzędzia ataku, np. połączenie exploita ze złośliwym kodem dającym zdalny dostęp, dopasowanego do wykrytych podatności^[8],
3. dostarczenie (delivery) – przekazanie „broni” do celu, najczęściej przez załącznik poczty elektronicznej (phishing), złośliwą stronę internetową lub nośnik USB^[1][6],
4. eksploatacja (exploitation) – uruchomienie złośliwego kodu, który wykorzystuje podatność w systemie ofiary^[6],
5. instalacja (installation) – osadzenie w systemie punktu dostępu dla napastnika, np. backdoora lub konia trojańskiego^[1][8],
6. dowodzenie i kontrola (command and control, C2) – nawiązanie łączności z infrastrukturą napastnika, dającej mu stały, interaktywny dostęp do sieci ofiary^[1],
7. działania na celu (actions on objectives) – realizacja właściwego celu ataku: wykradzenie danych, ich zniszczenie albo zaszyfrowanie dla okupu (ransomware)^[1][7].

Kluczowym założeniem modelu jest asymetria na korzyść obrońcy: napastnik musi przejść wszystkie ogniwa łańcucha, obrońcy zaś wystarczy przerwanie jednego z nich, najlepiej możliwie wczesnego^[3]. Dla każdej fazy można dobrać przeciwdziałania – od wykrycia obecności intruza, przez blokowanie dostępu i zakłócanie komunikacji wychodzącej, po zwodzenie kanału dowodzenia i ograniczanie zasięgu ataku segmentacją sieci^[9]. Model bywa wykorzystywany przez zespoły blue team do mapowania zdolności wykrywania na poszczególne fazy ataku oraz przez zespoły red team przy planowaniu symulowanych kampanii^[3][6].

Krytycy modelu wskazują, że jego pierwsze fazy (rozpoznanie, uzbrojenie) zachodzą poza bronioną siecią, przez co obrońca ma znikome możliwości ich wykrycia; sam model utrwala też tradycyjne strategie obrony obwodowej i skupionej na złośliwym oprogramowaniu, słabiej przystając do ataków prowadzonych bez malware'u^[4][10]. Zwraca się też uwagę, że klasyczny łańcuch nie nadaje się do modelowania zagrożeń wewnętrznych, pochodzących od osób mających już legalny dostęp do sieci^[11].

Różne organizacje konstruowały własne warianty łańcucha. Model firmy FireEye – liniowy i zbliżony do pierwowzoru – akcentuje trwałość zagrożenia: atak nie kończy się po jednym cyklu, a napastnik dąży do utrzymania długotrwałej obecności w skompromitowanym środowisku^[12].

W 2017 roku Paul Pols we współpracy z firmą Fox-IT i Uniwersytetem w Lejdzie opracował unified kill chain – ujednolicony łańcuch 18 faz, łączący i rozszerzający model Lockheed Martin oraz macierz taktyk MITRE ATT&CK. Obejmuje on działania zachodzące zarówno poza chronioną siecią, jak i wewnątrz niej, odpowiadając na główne zarzuty wobec klasycznego modelu, i służy do analizy pełnych kampanii grup APT^[13][14]. Komplementarnym podejściem jest sama macierz MITRE ATT&CK, katalogująca taktyki i techniki napastników bez narzucania ich chronologii^[13].

• Test penetracyjny

• Cyber Kill Chain na stronie Lockheed Martin (ang.)