Die Cyber Kill Chain bezeichnet die Abfolge von Schritten, die Cyberkriminelle häufig ausführen, um einen Angriff durchzuführen. Außerdem bildet die Cyber Kill Chain, ein von Lockheed Martin eingeführtes Framework, diese Abläufe ab und hilft Unternehmen dabei, Cyberangriffe zu verstehen und zu unterbrechen.
Inhalt
Dieses Modell eignet sich besonders gut für die Analyse von Advanced Persistent Threats (APTs) und komplexen Angriffen, bei denen verschiedene Taktiken wie Ransomware, Trojaner, Spoofing und Social Engineering kombiniert werden.
Das Cyber-Kill-Chain-Framework
Lockheed Martin entwickelte ursprünglich das Cyber-Kill-Chain-Framework, um das militärische „Kill Chain“-Konzept auf die Cybersicherheit zu übertragen. In der Militärstrategie beschreibt eine Kill Chain die strukturierten Schritte, die ein Gegner unternimmt, um ein Ziel zu identifizieren und anzugreifen – und die Möglichkeiten, mit denen Verteidiger diese Schritte stören können.
In ähnlicher Weise unterteilt das Cyber-Kill-Chain-Framework einen Angriff in verschiedene Phasen und gibt den Abwehrkräften einen klaren Überblick darüber, wo und wie sie eingreifen müssen. Sicherheitsteams verwenden dieses Modell nun, um Bedrohungen bestimmten Phasen zuzuordnen. Dadurch können sie Abwehrmaßnahmen priorisieren und Lücken erkennen.
Schritte der Cyber-Kill-Chain
Das Cyber-Kill-Chain-Modell identifiziert sieben Schritte, die Cyberangreifer unternehmen werden:
Aufklärung (Reconnaissance): Angreifer sammeln Informationen über das Ziel, wie offene Ports oder E-Mails von Mitarbeitern.
Bewaffnung (Weaponization): Sie bereiten Malware-Payloads vor und verknüpfen dabei häufig Exploits mit schädlichen Dateien oder Links.
Lieferung (Delivery): Die Schadsoftware wird gesendet, in der Regel via Phishing-E- Mails oder Drive-by-Downloads.
Ausbeutung (Exploitation): Der Schadcode läuft auf dem Zielsystem und nutzt dabei eine Schwachstelle aus.
Installation: Die Malware verankert sich dauerhaft, indem sie Backdoors oder Trojaner installiert.
Befehl und Steuerung (Command and Control, C2): Angreifer kommunizieren mit dem kompromittierten System, um Befehle zu erteilen.
Maßnahmen zu Zielen (Actions on Objectives): Sie erreichen ihr Ziel, sei es Datendiebstahl, die Verschlüsselung von Dateien oder die Störung von Diensten.
Visualisierung der Angriffe im Cyber-Kill-Chain-Modell
Dieses Modell zeigt, dass Cyberangriffe keine Einzelereignisse sind, sondern eine Reihe miteinander verbundener Schritte. Durch die Unterbrechung auch nur einer Stufe dieser Kette können Sicherheitsteams Angreifer daran hindern, ihre Ziele zu erreichen, und die Gesamtfolgen einer Sicherheitsverletzung verringern.
Beispielsweise könnten sie Threat Intelligence einsetzen, um Aufklärungsaktivitäten zu erkennen, Sandboxing verwenden, um Malware zu erkennen, oder den Netzwerkverkehr auf verdächtige C2-Verbindungen überwachen.
Cyber Kill Chain im Vergleich mit MITRE ATT&CK
Die Cyber Kill Chain bietet einen linearen, umfassenden Überblick über einen Angriff. Das MITRE ATT&CK-Framework zeigt dagegen eine detaillierte Matrix von gegnerischen Taktiken und Techniken. Die kombinierte Nutzung beider Funktionen verbessert die Erkennung, die Incident Response und die kontinuierliche Verbesserung der Cybersicherheit.
Einheitliche Cyber Kill Chain und andere Modelle
Die einheitliche Cyber Kill Chain integriert das Modell von Lockheed Martin mit den MITRE ATT&CK-Taktiken, um die Komplexität moderner Angriffe, insbesondere von Advanced Persistent Threats (APTs), besser zu erfassen. Sie erweitert die Kill Chain über die anfängliche Kompromittierung hinaus um laterale Bewegungen nach der Ausnutzung und den Diebstahl von Anmeldedaten. Abwehrkräfte erhalten so einen umfassenderen Fahrplan, damit sie Eindringlinge erkennen und stoppen können.
Cyber Kill Chain im Vergleich mit anderen Modellen: Vergleichstabelle
Framework
Fokus
Stärken
Cyber Kill Chain
Lineare Phasen eines
Angriffs
Leicht verständlich, stoppt Angriffe frühzeitig
MITRE ATT&CK
Taktik- und Technikenmatrix
Hoch detailliert, unterstützt Bedrohungssuche
Einheitliche Cyber Kill Chain
Kombiniert beide Ansätze
Erfasst den APT-Lebenszyklus, unterstützt die vollständige Abwehr
Unterbrechung des Cyber-Kill-Chain-Prozesses
Um Cyberangriffe zu stoppen, müssen oft eine oder mehrere Phasen der Kill Chain identifiziert und unterbrochen werden. Dieser mehrschichtige Ansatz reduziert die Erfolgschancen eines Angreifers und begrenzt den Schaden, falls er erste Abwehrmaßnahmen überwinden sollte.
Taktiken und Prävention der Cyber Kill Chain
Kill-Chain-Phase
Häufige Angriffe/Taktiken
Typische/beste Prävention
Aufklärung
OSINT, Social-Media-Profiling, Scannen nach exponierten Assets
Threat Intelligence und Angriffsflächenmanagement, um zu ermitteln, was Angreifer sehen, und die Gefährdung zu minimieren
Bewaffnung
Erstellen von Malware-Payloads, bösartigen Makros, Exploit-Kits
Patch- und Schwachstellenmanagement, Vermeidung von ausnutzbaren Lücken; Aktualisierung der Endpoint-Tools
Lieferung
Phishing-E-Mails, bösartige Links, Watering-Hole-Angriffe
E-Mail-Sicherheit und Webfilterung, um bösartige E-Mails und Websites zu blockieren
Ausbeutung
Ausnutzen von Software-Schwachstellen, Angriffe auf Anmeldedaten
Endpunktschutz (EPP/EDR) zur Erkennung und Blockierung bösartiger Aktionen.
Installation
Malware installiert Backdoors, Ransomware, Trojaner
Anwendungskontrollen und Sandboxing zum Stoppen unbekannter oder verdächtiger Installationen
Befehl und Steuerung (C2)
Remote Access Tools wie Cobalt Strike, verdächtige ausgehende Verbindungen
Network Intrusion Prevention Systems (IPS) und Anomalieerkennung zum Blockieren des C2-Datenverkehrs.
Maßnahmen zu Zielen
Datendiebstahl, Verschlüsselung für Ransomware, Sabotage
XDR- und SOC-Überwachung für schnelle Erkennung, Isolierung und Reaktion zur Begrenzung der Auswirkungen
Praktische Beispiele für Cyber Kill Chains
LockBit & BlackCat (ALPHV) Ransomware
Im Jahr 2024 nutzte LockBit den QakBot-Trojaner während der Liefer- und Ausnutzungsphase, um sich Zugang zu verschaffen, und verwendete anschließend Cobalt Strike, um die Kontrolle zu erlangen. Letztendlich verschlüsselten sie kritische Systeme und forderten Lösegeld in Millionenhöhe. Dies verdeutlicht, wie hoch die Kosten sein können, wenn man auf die Erkennung in frühen Phasen der Cyber Kill Chain verzichtet.
Clop-Ransomware
Clop ist dafür bekannt, Anwendungen für die sichere Dateiübertragung auszunutzen, um sich Zugriff zu verschaffen. Nach der Lieferung gehen die Angreifer schnell zur Datenexfiltration über (Installation und Aktionen auf den Zielen) und kombinieren Verschlüsselung mit öffentlichen Datenlecks, um doppelte Erpressung zu betreiben.
Vorteile der Cyber Kill Chain in der Cybersicherheit
Reduziert die Kosten von Sicherheitsverletzungen: Früherkennung bedeutet, Angriffe zu stoppen, bevor sie eskalieren, und so Kosten für Wiederherstellung und Rechtsstreitigkeiten zu sparen.
Unterstützt die regulatorische Compliance: Proaktive Maßnahmen gemäß DSGVO, NIS2 und ähnlichen Vorschriften lassen sich damit besser nachweisen.
Verbessert SOC- und IR-Bereitschaft: Sicherheitsteams erhalten einen strukturierten Ansatz für die Suche nach Bedrohungen und die Incident Response. Bezug zu Zero Trust Networking
Stärkung der Abwehrmechanismen in der gesamten Cyber Kill Chain
Mit dem Wissen um die Cyber Kill Chain können Sie jede Phase eines Angriffs antizipieren und unterbrechen – von der ersten Aufklärung bis zur Datenexfiltration. Aber die Taktiken zu kennen reicht nicht aus, wenn Sie nicht in der Lage sind, in Echtzeit zu erkennen, zu reagieren und sich anzupassen.
Trend Vision One™ bietet einheitliche Transparenz, leistungsstarke Analysen und Extended Detection and Response (XDR) in Ihrer gesamten Umgebung. Durch die Korrelation von Aktivitäten in jeder Phase der Kill Chain können Sie Bedrohungen früher stoppen, die Verweildauer verkürzen und kritische Ressourcen zuverlässig schützen.
Jon Clay arbeitet seit über 29 Jahren im Bereich Cybersicherheit. Er nutzt seine Branchenerfahrung, um Wissen zu vermitteln und Einblicke in alle extern veröffentlichten Bedrohungsanalysen und -informationen von Trend Micro zu geben.
Häufig gestellte Fragen (FAQs)
Was sind die sieben Schritte der Cyber-Kill-Chain?
Die Cyber-Kill-Chain beschreibt sieben Schritte, die Angreifer typischerweise folgen: Aufklärung, Waffnung, Lieferung, Ausnutzung, Installation, Kommando und Kontrolle (C2) und Aktionen auf Ziele. Jeder Schritt bietet Verteidigern eine Chance, den Angriff zu erkennen und zu stoppen.
Wer hat das Cyber-Kill-Chain-Modell entwickelt?
Lockheed Martin führte die Cyber-Kill-Chain im Jahr 2011 ein. Sie passten das Konzept von traditionellen militärischen Kill-Chains an, um Sicherheitsteams zu helfen, digitale Bedrohungen zu verstehen und zu unterbrechen.
Wie verhindert die Cyber-Kill-Chain Cyberangriffe?
Durch die Aufteilung eines Angriffs in Phasen hilft die Kill-Chain Sicherheitsteams, zu erkennen, wo sie eingreifen können. Ein Angriff frühzeitig zu stoppen – wie das Blockieren einer Phishing-E-Mail oder das Patchen von Schwachstellen – kann verhindern, dass er kritische Systeme erreicht.
Wie unterscheidet sich die Cyber-Kill-Chain von MITRE ATT&CK?
Die Cyber-Kill-Chain ist ein lineares Modell, das den typischen Verlauf eines Angriffs zeigt. MITRE ATT&CK ist eine detaillierte Matrix von Taktiken und Techniken, die Angreifer verwenden. Viele Organisationen verwenden beide zusammen für eine stärkere Sicherheit.
Ist die Cyber-Kill-Chain heute noch relevant?
Ja. Obwohl sich Angriffe weiterentwickelt haben, bleibt die Kill-Chain eine nützliche Methode, um Bedrohungen zu visualisieren und gestaffelte Verteidigungen zu entwerfen. Viele Teams kombinieren sie auch mit neueren Modellen wie dem MITRE ATT&CK-Framework.
Können kleine Unternehmen die Cyber-Kill-Chain verwenden?
Absolut. Selbst kleine Unternehmen können das Kill-Chain-Konzept anwenden, indem sie Bedrohungen kartieren, das Bewusstsein der Mitarbeiter verbessern und in gestaffelte Sicherheitsmaßnahmen investieren, um Angriffe in mehreren Phasen zu blockieren.