Cyber kill chain

Cyber kill chain (także intrusion kill chain) – model opisujący przebieg cyberataku jako sekwencję następujących po sobie faz, od rozpoznania celu po realizację właściwego celu ataku, opracowany w 2011 roku przez analityków koncernu Lockheed Martin. Koncepcja stanowi adaptację wojskowego pojęcia kill chain („łańcucha rażenia”) do dziedziny bezpieczeństwa teleinformatycznego: proces nazywa się łańcuchem dlatego, że pojedynczy brak w którymkolwiek ogniwie przerywa całość, a więc powstrzymanie ataku na dowolnym, możliwie wczesnym etapie udaremnia całą operację. Model jest szeroko stosowany przez specjalistów bezpieczeństwa zarówno w sektorze publicznym, jak i prywatnym, bywa jednak krytykowany za koncentrację na obronie obwodowej i złośliwym oprogramowaniu.

Geneza

W terminologii wojskowej kill chain opisuje uporządkowany proces namierzenia przeciwnika i oddziaływania na niego w celu osiągnięcia zamierzonych efektów. Amerykańska doktryna wskazywania celów ujmuje go w sześć kroków określanych skrótem F2T2EA: wykrycie celu nadającego się do rażenia, ustalenie jego położenia, śledzenie i obserwacja, przydzielenie odpowiedniego środka rażenia, wykonanie uderzenia oraz ocena skutków. Jest to proces zintegrowany, nazywany łańcuchem właśnie dlatego, że pojedynczy brak przerywa go w całości.

W 2011 roku Eric Hutchins, Michael Cloppert i Rohan Amin z Lockheed Martin przenieśli tę koncepcję na grunt ochrony sieci komputerowych, publikując model „intrusion kill chain” jako element strategii obrony sterowanej analizą działań przeciwnika (intelligence-driven defense); autorzy wskazywali, że rozłożenie ataku na fazy pozwala obrońcom dobrać środki zaradcze do każdej z nich i analizować kampanie zaawansowanych trwałych zagrożeń (APT), rozumianych jako dysponujący dużymi zasobami i wyszkoleniem przeciwnicy prowadzący wieloletnie kampanie wymierzone w szczególnie wrażliwe informacje gospodarcze, własnościowe lub dotyczące bezpieczeństwa narodowego. Model szybko przyjął się w organizacjach zajmujących się bezpieczeństwem danych jako rama opisu faz cyberataków; posłużył m.in. senackiej Komisji Handlu, Nauki i Transportu Stanów Zjednoczonych do analizy wycieku danych z sieci handlowej Target Corporation z 2013 roku, w której wskazano etapy, na których zabezpieczenia nie powstrzymały ani nie wykryły postępów ataku.

Fazy ataku

Według modelu Lockheed Martin atak przebiega w siedmiu fazach:

1. Rozpoznanie (reconnaissance) – napastnik wybiera cel i zbiera o nim informacje, m.in. metodami białego wywiadu, identyfikując potencjalne podatności sieci i pracowników,
2. uzbrojenie (weaponization) – przygotowanie narzędzia ataku, np. połączenie exploita ze złośliwym kodem dającym zdalny dostęp, dopasowanego do wykrytych podatności,
3. dostarczenie (delivery) – przekazanie „broni” do celu, najczęściej przez załącznik poczty elektronicznej (phishing), złośliwą stronę internetową lub nośnik USB,
4. eksploatacja (exploitation) – uruchomienie złośliwego kodu, który wykorzystuje podatność w systemie ofiary,
5. instalacja (installation) – osadzenie w systemie punktu dostępu dla napastnika, np. backdoora lub konia trojańskiego,
6. dowodzenie i kontrola (command and control, C2) – nawiązanie łączności z infrastrukturą napastnika, dającej mu stały, interaktywny dostęp do sieci ofiary,
7. działania na celu (actions on objectives) – realizacja właściwego celu ataku: wykradzenie danych, naruszenie ich integralności lub dostępności albo wykorzystanie przejętego komputera jako punktu przerzutowego do kolejnych systemów w sieci.

Zastosowanie w obronie

Kluczowym założeniem modelu jest asymetria na korzyść obrońcy: napastnik musi przejść wszystkie ogniwa łańcucha, obrońcy zaś wystarczy przerwanie jednego z nich, najlepiej możliwie wczesnego. Autorzy modelu zaproponowali macierz przeciwdziałań, w której każdej fazie ataku przyporządkowuje się sześć rodzajów działań zaczerpniętych z doktryny operacji informacyjnych: wykrywanie, uniemożliwianie, zakłócanie, osłabianie, zwodzenie i niszczenie. W fazie eksploatacji systemy wykrywania włamań na hostach (HIDS) pozwalają na przykład biernie wykryć wykorzystanie podatności, instalacja poprawek całkowicie ją uniemożliwia, a mechanizm zapobiegania wykonaniu danych (DEP) zakłóca działanie już uruchomionego kodu. Macierz obejmuje zarówno rozwiązania techniczne, jak sieciowe systemy wykrywania włamań i listy kontroli dostępu na zaporach, jak i praktyki utwardzania systemów oraz czujność samych użytkowników. Model bywa wykorzystywany przez zespoły blue team do mapowania zdolności wykrywania na poszczególne fazy ataku oraz przez zespoły red team przy planowaniu symulowanych kampanii.

Krytyka

Krytycy modelu wskazują, że jego pierwsze fazy (rozpoznanie, uzbrojenie) zachodzą poza bronioną siecią, przez co obrońca ma znikome możliwości ich wykrycia; sam model utrwala też tradycyjne strategie obrony obwodowej i skupionej na złośliwym oprogramowaniu, słabiej przystając do ataków prowadzonych bez malware'u. W literaturze naukowej zwraca się uwagę, że klasyczny łańcuch nie odwzorowuje w pełni działań zachodzących wewnątrz zaatakowanej organizacji, w szczególności na stacjach końcowych, na które napastnik trafia zaraz po przeniknięciu do sieci. Zwraca się też uwagę, że klasyczny łańcuch nie nadaje się do modelowania zagrożeń wewnętrznych, pochodzących od osób mających już legalny dostęp do sieci.

Rozwinięcia modelu

W 2017 roku Paul Pols we współpracy z firmą Fox-IT i Uniwersytetem w Lejdzie opracował unified kill chain – ujednolicony łańcuch 18 faz, łączący i rozszerzający model Lockheed Martin oraz macierz taktyk MITRE ATT&CK. Obejmuje on działania zachodzące zarówno poza chronioną siecią, jak i wewnątrz niej, odpowiadając na główne zarzuty wobec klasycznego modelu, i służy do analizy pełnych kampanii grup APT. Komplementarnym podejściem jest sama macierz MITRE ATT&CK, katalogująca taktyki i techniki napastników bez narzucania ich chronologii.

Zobacz też

• Test penetracyjny
• Advanced Persistent Threat

Przypisy

Linki zewnętrzne

• Cyber Kill Chain na stronie Lockheed Martin test