Cyber kill chain

Cyber kill chain (także intrusion kill chain) – model opisujący przebieg cyberataku jako sekwencję następujących po sobie faz, od rozpoznania celu po realizację właściwego celu ataku, opracowany w 2011 roku przez analityków koncernu Lockheed Martin^[1][2]. Koncepcja stanowi adaptację wojskowego pojęcia kill chain („łańcucha rażenia”) do dziedziny bezpieczeństwa teleinformatycznego: proces nazywa się łańcuchem dlatego, że pojedynczy brak w którymkolwiek ogniwie przerywa całość, a więc powstrzymanie ataku na dowolnym, możliwie wczesnym etapie udaremnia całą operację^[1]. Model jest szeroko stosowany przez specjalistów bezpieczeństwa zarówno w sektorze publicznym, jak i prywatnym^[2], bywa jednak krytykowany za koncentrację na obronie obwodowej i złośliwym oprogramowaniu^[3].

W terminologii wojskowej kill chain opisuje uporządkowany proces namierzenia przeciwnika i oddziaływania na niego w celu osiągnięcia zamierzonych efektów. Amerykańska doktryna wskazywania celów ujmuje go w sześć kroków określanych skrótem F2T2EA: wykrycie celu nadającego się do rażenia, ustalenie jego położenia, śledzenie i obserwacja, przydzielenie odpowiedniego środka rażenia, wykonanie uderzenia oraz ocena skutków. Jest to proces zintegrowany, nazywany łańcuchem właśnie dlatego, że pojedynczy brak przerywa go w całości^[1].

W 2011 roku Eric Hutchins, Michael Cloppert i Rohan Amin z Lockheed Martin przenieśli tę koncepcję na grunt ochrony sieci komputerowych, publikując model „intrusion kill chain” jako element strategii obrony sterowanej analizą działań przeciwnika (intelligence-driven defense); autorzy wskazywali, że rozłożenie ataku na fazy pozwala obrońcom dobrać środki zaradcze do każdej z nich i analizować kampanie zaawansowanych trwałych zagrożeń (APT), rozumianych jako dysponujący dużymi zasobami i wyszkoleniem przeciwnicy prowadzący wieloletnie kampanie wymierzone w szczególnie wrażliwe informacje gospodarcze, własnościowe lub dotyczące bezpieczeństwa narodowego^[1]. Model szybko przyjął się w organizacjach zajmujących się bezpieczeństwem danych jako rama opisu faz cyberataków^[4]; posłużył m.in. senackiej Komisji Handlu, Nauki i Transportu Stanów Zjednoczonych do analizy wycieku danych z sieci handlowej Target Corporation z 2013 roku, w której wskazano etapy, na których zabezpieczenia nie powstrzymały ani nie wykryły postępów ataku^[2].

Według modelu Lockheed Martin atak przebiega w siedmiu fazach^[1][5][6]:

1. Rozpoznanie (reconnaissance) – napastnik wybiera cel i zbiera o nim informacje, m.in. metodami białego wywiadu, identyfikując potencjalne podatności sieci i pracowników^[7],
2. uzbrojenie (weaponization) – przygotowanie narzędzia ataku, np. połączenie exploita ze złośliwym kodem dającym zdalny dostęp, dopasowanego do wykrytych podatności^[7],
3. dostarczenie (delivery) – przekazanie „broni” do celu, najczęściej przez załącznik poczty elektronicznej (phishing), złośliwą stronę internetową lub nośnik USB^[1][5],
4. eksploatacja (exploitation) – uruchomienie złośliwego kodu, który wykorzystuje podatność w systemie ofiary^[5],
5. instalacja (installation) – osadzenie w systemie punktu dostępu dla napastnika, np. backdoora lub konia trojańskiego^[1][7],
6. dowodzenie i kontrola (command and control, C2) – nawiązanie łączności z infrastrukturą napastnika, dającej mu stały, interaktywny dostęp do sieci ofiary^[1],
7. działania na celu (actions on objectives) – realizacja właściwego celu ataku: wykradzenie danych, naruszenie ich integralności lub dostępności albo wykorzystanie przejętego komputera jako punktu przerzutowego do kolejnych systemów w sieci^[1][6].

Kluczowym założeniem modelu jest asymetria na korzyść obrońcy: napastnik musi przejść wszystkie ogniwa łańcucha, obrońcy zaś wystarczy przerwanie jednego z nich, najlepiej możliwie wczesnego^[1]. Autorzy modelu zaproponowali macierz przeciwdziałań, w której każdej fazie ataku przyporządkowuje się sześć rodzajów działań zaczerpniętych z doktryny operacji informacyjnych: wykrywanie, uniemożliwianie, zakłócanie, osłabianie, zwodzenie i niszczenie. W fazie eksploatacji systemy wykrywania włamań na hostach (HIDS) pozwalają na przykład biernie wykryć wykorzystanie podatności, instalacja poprawek całkowicie ją uniemożliwia, a mechanizm zapobiegania wykonaniu danych (DEP) zakłóca działanie już uruchomionego kodu^[1]. Macierz obejmuje zarówno rozwiązania techniczne, jak sieciowe systemy wykrywania włamań i listy kontroli dostępu na zaporach, jak i praktyki utwardzania systemów oraz czujność samych użytkowników^[1][8]. Model bywa wykorzystywany przez zespoły blue team do mapowania zdolności wykrywania na poszczególne fazy ataku oraz przez zespoły red team przy planowaniu symulowanych kampanii^[5].

Krytycy modelu wskazują, że jego pierwsze fazy (rozpoznanie, uzbrojenie) zachodzą poza bronioną siecią, przez co obrońca ma znikome możliwości ich wykrycia; sam model utrwala też tradycyjne strategie obrony obwodowej i skupionej na złośliwym oprogramowaniu, słabiej przystając do ataków prowadzonych bez malware'u^[3][9]. W literaturze naukowej zwraca się uwagę, że klasyczny łańcuch nie odwzorowuje w pełni działań zachodzących wewnątrz zaatakowanej organizacji, w szczególności na stacjach końcowych, na które napastnik trafia zaraz po przeniknięciu do sieci^[10]. Zwraca się też uwagę, że klasyczny łańcuch nie nadaje się do modelowania zagrożeń wewnętrznych, pochodzących od osób mających już legalny dostęp do sieci^[11].

W 2017 roku Paul Pols we współpracy z firmą Fox-IT i Uniwersytetem w Lejdzie opracował unified kill chain – ujednolicony łańcuch 18 faz, łączący i rozszerzający model Lockheed Martin oraz macierz taktyk MITRE ATT&CK. Obejmuje on działania zachodzące zarówno poza chronioną siecią, jak i wewnątrz niej, odpowiadając na główne zarzuty wobec klasycznego modelu, i służy do analizy pełnych kampanii grup APT^[12][13]. Komplementarnym podejściem jest sama macierz MITRE ATT&CK, katalogująca taktyki i techniki napastników bez narzucania ich chronologii^[12].

• Test penetracyjny
• Advanced Persistent Threat

• Cyber Kill Chain na stronie Lockheed Martin test