La cyber kill chain si riferisce alla sequenza di passi che i cyber criminali spesso compiono per realizzare un attacco. Inoltre, la cyber kill chain, un framework introdotto da Lockheed Martin, mappa queste sequenze, aiutando le organizzazioni a comprendere e interrompere gli attacchi informatici nel processo.
Indice
Questo modello è particolarmente utile per analizzare le minacce persistenti avanzate (APT) e gli attacchi sofisticati che combinano tattiche come malware,ransomware, trojan, spoofing e ingegneria sociale.
Il quadro della cyber kill chain
Lockheed Martin ha originariamente sviluppato il framework della cyber kill chain come modo per adattare il pensiero della “kill chain” militare alla cybersecurity. Nella strategia militare, una kill chain descrive i passi strutturati che un avversario intraprende per identificare e coinvolgere un obiettivo e le opportunità che i difensori devono cogliere per disturbarlo.
Allo stesso modo, il framework della cyber kill chain suddivide un attacco in fasi distinte, offrendo ai difensori una visione chiara di dove e come intervenire. I team di sicurezza ora utilizzano questo modello per mappare le minacce a fasi specifiche, aiutandoli a dare priorità alle difese e a individuare le lacune.
Fasi della Cyber Kill Chain
Il modello della cyber kill chain identifica sette passi che gli aggressori informatici intraprenderanno:
Ricognizione: Gli aggressori raccolgono informazioni sull'obiettivo, come porte aperte o e-mail dei dipendenti.
Armamento: Preparano i payload dei malware, spesso legando gli exploit a file o link dannosi.
Consegna: Invio del payload, in genere tramite e-mail di phishing o download drive-by.
Sfruttamento: Il codice dannoso viene eseguito sul sistema di destinazione, sfruttando una vulnerabilità.
Installazione: Il malware stabilisce la persistenza installando backdoor o trojan.
Comando e controllo (C2): Gli aggressori comunicano con il sistema compromesso per emettere comandi.
Azioni sugli obiettivi: Raggiungono il loro obiettivo, che si tratti di rubare dati, crittografare file o interrompere i servizi.
In che modo il modello della cyber kill chain visualizza gli attacchi
Questo modello mostra che gli attacchi informatici non sono eventi singoli, ma una serie di passaggi interconnessi. Interrompendo anche una sola fase di questa catena, i team di sicurezza possono impedire agli aggressori di raggiungere i loro obiettivi e ridurre l'impatto complessivo di una violazione.
Ad esempio, potrebbero distribuire informazioni sulle minacce per rilevare attività di ricognizione, utilizzare il sandboxing per rilevare malware dannosi o monitorare il traffico di rete alla ricerca di connessioni C2 sospette.
Cyber Kill Chain vs MITRE ATT&CK
La cyber kill chain offre una visione lineare e di alto livello di un attacco, mentre il framework MITRE ATT&CK fornisce una matrice dettagliata di tattiche e tecniche avversarie. L'utilizzo di entrambi insieme rafforza il rilevamento, la risposta agli incidenti e il miglioramento continuo della sicurezza informatica.
Cyber Kill Chain Unificata e Altri Modelli
La cyber kill chain unificata integra il modello Lockheed Martin con le tattiche MITRE ATT&CK per catturare meglio la complessità degli attacchi moderni, in particolare le minacce persistenti avanzate (APT). Espande la kill chain oltre la compromissione iniziale per includere il movimento laterale post-sfruttamento e il furto di credenziali, offrendo ai difensori una roadmap più completa per individuare e interrompere le intrusioni.
Cyber kill chain vs altri modelli: Tabella di confronto
Framework
Focus
Punti di Forza
Cyber Kill Chain
Fasi lineari di un
attacco
Facile da capire, blocca gli attacchi in anticipo
MITRE ATT&CK
Matrice tattiche e tecniche
Altamente dettagliato, supporta la ricerca delle minacce
Cyber Kill Chain Unificata
Combina entrambi gli approcci
Cattura il ciclo di vita dell'APT, supporta la difesa a pieno spettro
Come Interrompere il Processo della Cyber Kill Chain
Fermare gli attacchi informatici significa spesso identificare e interrompere una o più fasi della kill chain. Questo approccio a più livelli riduce le possibilità di successo di un aggressore e limita il danno in caso di violazione delle difese iniziali.
Tattiche e Prevenzione della Cyber Kill Chain
Fase della Kill Chain
Attacchi/Tattiche Comuni
Prevenzione Tipica/Migliore
Ricognizione
OSINT, profilazione dei social media, scansione delle risorse esposte
Threat intelligence e gestione della superficie di attacco per identificare ciò che gli aggressori vedono e ridurre al minimo l'esposizione.
Armamento
Creazione di payload di malware, macro dannose, kit di exploit
Gestione di patch e vulnerabilità, riduzione delle lacune sfruttabili; aggiornamento degli strumenti endpoint.
Consegna
E-mail di phishing, collegamenti dannosi, attacchi di watering hole
Sicurezza delle e-mail e filtraggio del web per bloccare e-mail e siti dannosi.
Sfruttamento
Sfruttare le vulnerabilità del software, gli attacchi delle credenziali
Protezione degli endpoint (EPP/EDR) per rilevare e bloccare le azioni dannose.
Installazione
Il malware installa backdoor, ransomware, trojan
Controlli delle applicazioni e sandboxing per bloccare installazioni sconosciute o sospette.
Comando e Controllo (C2)
Strumenti di accesso remoto come Cobalt Strike, connessioni in uscita sospette
Sistemi di prevenzione delle intrusioni di rete (IPS) e rilevamento delle anomalie per bloccare il traffico C2.
Azioni sugli Obiettivi
Furto di dati, crittografia per ransomware, sabotaggio
Esempi di cyber kill chain nel mondo reale
Ransomware LockBit & BlackCat (ALPHV)
Nel 2024,LockBit ha sfruttato il trojan QakBot durante le fasi di consegna e sfruttamento per ottenere l'accesso, quindi ha utilizzato Cobalt Strike per ottenere il comando e il controllo. In ultima analisi, hanno crittografato i sistemi critici, richiedendo milioni di pagamenti di riscatto, dimostrando il costo di saltare il rilevamento mirato alle prime fasi della cyber kill chain.
Ransomware Clop
Clop è nota per lo sfruttamento di applicazioni di trasferimento file sicure per ottenere l'accesso. Dopo la consegna, passano rapidamente all'esfiltrazione dei dati (installazione e azioni sugli obiettivi), combinando la crittografia con le fughe di dati pubblici per una doppia estorsione.
Vantaggi dell'utilizzo della cyber kill chain nella cybersecurity
Riduce i costi delle violazioni: Il rilevamento precoce significa bloccare gli attacchi prima che si aggravino, risparmiando sui costi di recupero e legali.
Supporta la conformità normativa: Aiuta a dimostrare misure proattive ai sensi di GDPR, NIS2 e normative simili.
Migliora la preparazione SOC e IR: Offre ai team di sicurezza un approccio strutturato alla ricerca delle minacce e alla risposta agli incidenti. Scopri come questo si collega a Zero Trust Networking
Rafforza le tue difese lungo l'intera cyber kill chain
La comprensione della cyber kill chain aiuta ad anticipare e interrompere ogni fase di un attacco, dalla ricognizione iniziale all'esfiltrazione dei dati. Ma conoscere le tattiche non è sufficiente senza la capacità di rilevare, rispondere e adattarsi in tempo reale.
Trend Vision One™ offre visibilità unificata, analisi potenti e rilevamento e risposta estesi (XDR) in tutto l'ambiente. Correlando l'attività in ogni fase della kill chain, è possibile bloccare le minacce in anticipo, ridurre il tempo di permanenza e proteggere le risorse critiche con sicurezza.
Jon Clay lavora nel settore della cybersecurity da oltre 29 anni. Jon sfrutta la sua esperienza nel settore per educare e condividere informazioni su tutte le ricerche e le informazioni sulle minacce pubblicate esternamente da Trend Micro.
Domande frequenti (FAQ)
Che cos’è la Cyber Kill Chain?
La Cyber Kill Chain è un framework di sicurezza che definisce le fasi di un attacco, aiutando a rilevare minacce e interrompere attività malevole.
Quali sono i sette passaggi della cyber kill chain?
La cyber kill chain delinea sette passaggi che gli attaccanti tipicamente seguono: ricognizione, armamento, consegna, sfruttamento, installazione, comando e controllo (C2) e azioni sugli obiettivi. Ogni passaggio offre ai difensori una possibilità di rilevare e fermare l'attacco.
Chi ha sviluppato il modello della cyber kill chain?
Lockheed Martin ha introdotto la cyber kill chain nel 2011. Hanno adattato il concetto dalle kill chain militari tradizionali per aiutare i team di sicurezza informatica a comprendere e interrompere le minacce digitali.
Come previene gli attacchi informatici la cyber kill chain?
Scomponendo un attacco in fasi, la kill chain aiuta i team di sicurezza a identificare dove intervenire. Fermare un attacco presto, come bloccare un'email di phishing o correggere vulnerabilità, può impedirgli di raggiungere i sistemi critici.
Come è diversa la cyber kill chain da MITRE ATT&CK?
La cyber kill chain è un modello lineare che mostra la progressione tipica di un attacco. MITRE ATT&CK è una matrice dettagliata di tattiche e tecniche utilizzate dagli attaccanti. Molte organizzazioni utilizzano entrambi insieme per una sicurezza più forte.
La cyber kill chain è ancora rilevante oggi?
Sì. Sebbene gli attacchi si siano evoluti, la kill chain rimane un modo utile per visualizzare le minacce e progettare difese stratificate. Molti team la combinano anche con modelli più recenti come il framework MITRE ATT&CK.
Le piccole imprese possono utilizzare la cyber kill chain?
Assolutamente. Anche le piccole aziende possono applicare il concetto della kill chain mappando le minacce, migliorando la consapevolezza dei dipendenti e investendo in sicurezza stratificata per bloccare gli attacchi in più fasi.