Cyber Kill Chain

Cyber Kill Chain to model opracowany przez Lockheed Martin, który dzieli włamanie na siedem kolejnych etapów, od rozpoznania celu po realizację zamiarów napastnika ^[1]. Model jest częścią podejścia Intelligence Driven Defense i wskazuje, co napastnik musi wykonać, aby osiągnąć cel ^[1]. Jego główna teza brzmi: napastnik musi przejść pomyślnie przez każdy etap, więc jedno skuteczne zabezpieczenie przerywa cały łańcuch ^[2]. W polskich tekstach model opisuje się też opisowo jako łańcuch ataku lub cyberataku ^[3].

Pochodzenie

Model przedstawili pracownicy Lockheed Martin, Eric M. Hutchins, Michael J. Cloppert i Rohan M. Amin, w artykule o obronie sieci opartej na wywiadzie ^[2]. Autorzy przenieśli do świata sieci wojskowe pojęcie łańcucha: proces jest „łańcuchem”, bo brak dowolnego ogniwa przerywa całość ^[2]. Punktem wyjścia była obserwacja zagrożeń typu APT, czyli dobrze wyposażonych napastników prowadzących wieloletnie kampanie przeciw konkretnym organizacjom ^[2]. Lockheed Martin objaśnia ten skrót: „zaawansowany” oznacza działania ukierunkowane, skoordynowane i celowe, a „zagrożenie” to osoby, które mają zamiar, okazję i możliwości ^[1]. Według autorów klasyczne reagowanie na incydenty zakłada, że do włamania już doszło, i dlatego nie wystarcza wobec takich napastników ^[2].

Etapy

Siedem etapów zdefiniowanych w artykule Lockheed Martin ^[2] wraz z polskimi nazwami używanymi przez Kapitan Hack ^[3]:

Autorzy zauważają, że w latach 2004–2010 zespół reagowania Lockheed Martin najczęściej obserwował trzy drogi dostarczenia ładunku: załączniki e-mail, strony internetowe i nośniki USB ^[2]. Lockheed Martin podaje, że znajomość siedmiu etapów poszerza widoczność ataku i pogłębia rozumienie taktyk, technik i procedur (TTP) napastnika przez analityka ^[1]. Etap C2 jest momentem zwrotnym: według autorów artykułu przejęte maszyny zwykle same łączą się z serwerem w internecie, a po zestawieniu kanału napastnik ma dostęp „z rękami na klawiaturze” wewnątrz atakowanego środowiska ^[2]. Dlatego ruch wychodzący z serwera do nieznanych adresów jest cennym sygnałem dla obrońcy. Na ostatnim etapie celem może być także naruszenie integralności lub dostępności danych albo użycie przejętej maszyny jako punktu wyjścia do lateral movement ^[2].

RYS. 1Siedem etapów Cyber Kill Chain

Obrona według etapów

Model staje się narzędziem obrony, gdy obrońcy przypisują swoje zabezpieczenia do konkretnych etapów działania napastnika ^[2]. Autorzy proponują macierz działań obronnych opartą na doktrynie operacji informacyjnych Departamentu Obrony USA: wykryj, zablokuj, zakłóć, osłab, zmyl, zniszcz ^[2]. Przykład z artykułu dotyczy etapu Exploitation: system IDS na hoście może wykryć exploit, łatka (patch) całkowicie uniemożliwia jego użycie, a mechanizm DEP może zakłócić exploit, gdy już zacznie działać ^[2].

Z tego wynika praktyczna zasada: im wcześniej łańcuch zostanie przerwany, tym mniejsze straty ^[3]. Napastnicy powtarzają próby i dostosowują działania do wyników, a każde powtórzenie daje obrońcom materiał do analizy ^[2]. Jeśli obrońcy wdrażają środki zaradcze szybciej, niż napastnik się zmienia, rośnie koszt ataku ^[2]. Wiedza zebrana z poprzednich prób zasila threat intelligence.

W WordPressie

Model powstał z myślą o sieciach firmowych, ale da się go przyłożyć do typowego włamania na stronę WordPress. Kolejne etapy wyglądają wtedy następująco:

• Reconnaissance: skanowanie portów, rozpoznawanie wersji wtyczek, enumeracja użytkowników.
• Weaponization i Delivery: przygotowanie żądania HTTP, które wykorzystuje znaną podatność we wtyczce. MITRE opisuje to jako technikę T1190, której celem są między innymi strony i serwery WWW ^[5].
• Installation: wgranie webshella; MITRE opisuje instalowanie webshelli na serwerach WWW jako sposób na trwały dostęp ^[6].
• Actions on Objectives: SEO spam, przekierowania, web skimming albo kradzież bazy danych.

Każdemu etapowi odpowiada inna warstwa obrony. Na etapie dostarczenia działa WAF, który filtruje żądania. Na etapie wykorzystania skuteczna jest aktualizacja, a na etapie instalacji blokada wykonywania PHP w katalogu uploads i monitorowanie zmian w plikach.

Ograniczenia

Kapitan Hack wskazuje, że model zakłada liniowy przebieg ataku, podczas gdy działania napastników bywają dynamiczne i biegną kilkoma ścieżkami równolegle ^[3]. Model słabo opisuje też zagrożenia wewnętrzne, które nie pasują do tradycyjnej sekwencji ^[3]; zob. insider. W praktyce rzadko stosuje się go samodzielnie ^[3].

MITRE zalicza Cyber Kill Chain do modeli wysokiego poziomu, które dobrze pokazują ogólny przebieg i cele napastnika ^[4]. Takie modele nie pokazują jednak pojedynczych działań napastnika, powiązań między nimi ani związku ze źródłami danych, na których opiera się wykrywanie ^[4]. Tę szczegółowość daje MITRE ATT&CK. Kapitan Hack opisuje oba podejścia jako uzupełniające się: Cyber Kill Chain daje ogólny obraz procesu, a ATT&CK szczegółową mapę technik ^[3].