Was ist die Cyber Kill Chain und wie kann man sie effektiv nutzen?

Wahrscheinlich sind Sie mit dem Defense-in-Depth- oder Castle-and-Moat-Ansatz für Cybersicherheit vertraut. Es ist nach wie vor ein gängiges Modell, mit dem Unternehmen ihre Informationssicherheit durchdenken.

Mit zunehmender Reife haben Unternehmen jedoch nach neuen Modellen gesucht, die es ihnen ermöglichen, besser zu verstehen, wie Cyberangreifer vorgehen und wie sie sich am besten gegen sie verteidigen können.

Ein Beispiel ist das Cyber Kill Chain Framework von Lockheed Martin, das im Rahmen des Intelligence Driven Defense-Modells zur Identifizierung und Prävention von Cyberangriffen und Datenexfiltration entwickelt wurde.

Der Begriff "Kill Chain" stammt aus dem Militär und beschreibt die Schritte, mit denen ein Feind ein Ziel angreift. Im Jahr 2011 nahm Lockheed Martin dieses militärische Modell und verwendete es, um die Schritte zu definieren, die bei den heutigen Cyberangriffen verwendet werden. Die Theorie besagt, dass Sicherheitsteams durch das Verständnis der sieben Phasen, die ein Angriff durchläuft, eine bessere Chance haben, ihn zu stoppen oder sie zu zwingen, genügend Lärm zu machen, um leicht entdeckt zu werden.

Seitdem wurden verschiedene Versionen der Cyber Kill Chain veröffentlicht, darunter das Internal Cyber Kill Chain Model von AT&T und die Unified Kill Chain, die entwickelt wurde, um die gängige Kritik an der traditionellen Cyber Kill Chain zu überwinden, indem sie die Kill Chain von Lockheed Martin und das ATT&CK-Framework von MITRE vereint und erweitert. Das Modell von Lockheed Martin ist jedoch nach wie vor das am weitesten verbreitete.

Es ist nach wie vor eines der informativsten Modelle und konzentriert sich gut auf das menschliche Element der Cyber-Kill-Chain. Das ist eine gute Sache für eine Branche, die oft den Schwerpunkt auf technologiegestützte Bedrohungsinformationen legt und die Risiken von Social Engineering und anderen menschenbasierten Angriffsvektoren ignoriert.

Das Sicherheitsbewusstsein ist eine der wichtigsten Sicherheitskontrollen, die mit Verschlüsselung und sicheren Passwörtern, Data Loss Prevention, Intrusion Prevention- und Detection-Systemen, Vendor Risk Management, Attack Surface Management und einem Antivirenprogramm mithalten kann.

Kurz gesagt, das Cyber-Kill-Chain-Modell beschreibt die Phasen eines Angriffs durch eine Advanced Persistent Threat (APT) oder einen Cyberkriminellen, der versucht, sich unbefugten Zugriff auf sensible Daten oder Assets innerhalb eines Sicherheitsperimeters zu verschaffen.

Das Verständnis der sieben Phasen der Cyber-Kill-Chain kann dazu beitragen, Insider-Bedrohungen, die Ausnutzung von Schwachstellen, Datenschutzverletzungen, Privilegienausweitung, Phishing, Denial-of-Service, Social Engineering, Malware, Ransomware und eine Vielzahl anderer Cyber-Bedrohungen zu verhindern.

Was sind die sieben Phasen der Cyber Kill Chain?

Im Folgenden erläutern wir kurz die Phasen eines Angriffs nach dem Modell von Lockheed Martin. In jeder Phase beschreiben wir eine kurze Liste von Angriffen, die während der Phase verwendet werden können.

1. Aufklärung

In der Aufklärungsphase geht es bei Cyberangreifern um die Recherche, Identifizierung und Auswahl von Zielen. Dies wird häufig erreicht, indem das Internet nach Konferenzteilnehmern, E-Mail-Adressen, Social-Media-Beziehungen oder Informationen über Zielsysteme durchsucht wird.

Viele Sicherheitsexperten sind zwar der Meinung, dass in dieser Phase nichts getan werden kann, aber wir glauben, dass dies falsch ist.

Angreifer nutzen die schlechte Betriebssicherheit, offene Ports und die unzähligen anderen extern beobachtbaren Angriffsvektoren, um über ihre Ziele zu entscheiden. Die Investition in Software zur Verwaltung der Angriffsfläche kann Ihnen helfen, Ihre Angriffsfläche im Laufe der Zeit zu verstehen, abzubilden und zu reduzieren.

In der Aufklärungsphase können sichere Verhaltensweisen einen großen Einfluss haben. Ein sicherheitsbewusstes Unternehmen weiß, dass es ein potenzielles Ziel ist, und schränkt die Weitergabe von Informationen ein, um das Risiko von Spear-Phishing- und Whaling-Angriffen zu verringern.

Das soll nicht heißen, dass es nicht schwierig ist, Aufklärungsbemühungen in Echtzeit zu erkennen. Das ist es und diese Kontrollen werden nicht alles stoppen. Die Entdeckung der Aufklärung im Nachhinein kann jedoch immer noch einen Kontext für die Absichten eines Angreifers liefern. Erwägen Sie, in die folgenden Erkennungsmechanismen zu investieren:

Sammeln von Website-Besucherprotokollen für die Änderungs- und Verlaufssuche
Zusammenarbeit mit Webadministratoren, um ihre vorhandenen Browseranalysen zu nutzen
Erstellen von Erkennungen für Browsing-Verhaltensweisen, die nur für die Aufklärung gelten
Priorisierung der Abwehr bestimmter Technologien oder Personen auf der Grundlage von Aufklärungsaktivitäten

2. Bewaffnung

Die Phase der Bewaffnung ist die Vorbereitungs- und Inszenierungsphase eines Cyberangriffs. Der Angreifer hat immer noch nicht mit seinem beabsichtigten Opfer interagiert. Stattdessen kreieren sie ihren Angriff.

Dies bedeutet in der Regel, dass bösartige Software, wie z. B. ein Remote-Access-Trojaner, mit einem Exploit über ein automatisiertes Tool namens Weaponizer gekoppelt wird.

Beispielsweise kann ein Angreifer ein infiziertes Microsoft Office-Dokument erstellen, das über Phishing-E-Mails zugestellt werden soll.

Auch wenn die Erkennung von Bewaffnung nahezu unmöglich ist, ist es eine wesentliche Phase, die man verstehen muss, und man kann viel lernen, indem man Malware-Artefakte analysiert. Die Erkennung von Artefakten durch Waffen ist eine der widerstandsfähigsten und widerstandsfähigsten Verteidigungen.

Sicherheitskontrollen, die die Wahrscheinlichkeit und die Auswirkungen der Bewaffnung verringern können:

Durchführung von Security Awareness Trainings
Durchführung einer Malware-Analyse nicht nur für die Nutzlast, sondern auch für die Art und Weise, wie sie erstellt wurde
Gebäudeerkennungen für Waffenhändler
Analysieren Sie die Zeitachse zwischen dem Zeitpunkt, zu dem Malware erstellt wurde, und dem Zeitpunkt, zu dem sie verwendet wurde. Alte Malware bedeutet in der Regel, dass sie von der Stange kam, während neue Malware aktive, maßgeschneiderte Operationen bedeuten kann
Sammeln von Dateien und Metadaten für die zukünftige digitale Forensik
Bestimmen, welche Waffenartiefakte in welchen APT-Kampagnen vorkommen

3. Lieferung

Die Zustellung ist die dritte Phase der Cyber Kill Chain und bezieht sich auf die Angriffsvektoren, die zur Übermittlung bösartiger Nutzlasten verwendet werden. Laut dem Lockheed Martin Computer Incident Response Team (LM-CIRT) waren in den Jahren 2004 bis 2010 E-Mail-Anhänge, Websites und USB-Medien die drei häufigsten Übermittlungsvektoren für bewaffnete Nutzlasten durch APT-Akteure.

Es gibt zwar eine ganze Branche, die sich der Abwehr von Angriffen in dieser Phase widmet, aber auch die Menschen spielen eine entscheidende Rolle. Wenn Sie sich die drei häufigsten Angriffsvektoren oben ansehen, beruhen zwei von ihnen auf irgendeiner Form menschlicher Interaktion.

Indem Sie den Menschen beibringen, damit aufzuhören, wenn sie das Gefühl haben, dass etwas nicht stimmt, können Sie die Verbreitung einer Vielzahl verschiedener bösartiger Software verhindern. Es wird zwar wurmfähige Exploits wie EternalBlue nicht stoppen, die auf veraltete SMB-Protokolle abzielten und zum WannaCry-Ransomware-Angriff führten, aber es wird viele weniger ausgeklügelte Versuche verhindern.

Zu den Gegenmaßnahmen für die Lieferphase gehören:

Analyse des Bereitstellungsmediums, um die Auswirkungen der Zielsysteme zu verstehen
Verständnis der Zielserver und -personen, ihrer Rollen und Verantwortlichkeiten und der sensiblen Daten, auf die sie Zugriff haben
Ableiten der Absicht von Angreifern auf der Grundlage des Targetings
Nutzung von Weaponizer-Artefakten, um neue bösartige Payloads am Ort der Bereitstellung zu erkennen
Analyse der Tageszeit, zu der der Angriff begann
Sammeln von E-Mail- und Webprotokollen für die forensische Rekonstruktion Auch wenn ein Eindringling erst spät erkannt wird, müssen Sie feststellen können, wann und wie die Zustellung begonnen hat
Schwachstellenmanagement und Vulnerabilitätsbewertungsprozesse

4. Verwertung

Nachdem die Nutzlast an das Opfer geliefert wurde, löst die Ausnutzung den Code der Eindringlinge aus. In den meisten Fällen zielt dies auf eine Anwendungs- oder Betriebssystemschwachstelle ab, kann aber auch einfach das Opfer ausnutzen oder eine Betriebssystemfunktion nutzen, die Code automatisch ausführt.

Um die Zuverlässigkeit zu erhöhen, sollten Sie in traditionelle Härtungsmaßnahmen investieren:

Schulung zur Sensibilisierung der Benutzer und E-Mail-Tests für Mitarbeiter
Sicheres Programmiertraining für Webentwickler
Regelmäßige Schwachstellen-Scans und Penetrationstests
Maßnahmen zur Endpunkthärtung wie das Einschränken von Administratorrechten und benutzerdefinierten Endpunktregeln, um die Ausführung von Shellcode zu blockieren
Endpoint Process Auditing zur forensischen Bestimmung des Ursprungs des Exploits

5. Installation

Die Installationsphase impliziert, dass der Angreifer einen aktiven Exploit auf dem Zielsystem ausgeführt hat. In dieser Situation können sie nach zusätzlichen Schwachstellen suchen oder die Rechteausweitung nutzen, um zusätzlichen Zugriff auf das System zu erhalten, um einen Backdoor- oder Remote-Access-Trojaner zu installieren, der die Persistenz in der Umgebung ermöglicht.

Sie können auch eine Form der Verschleierung anwenden, um ihre Anwesenheit zu verbergen und Aktivitäten zu verschleiern, um eine Entdeckung zu vermeiden und eine Untersuchung zu vereiteln. Dies kann das Löschen von Dateien und Metadaten, das Überschreiben von Daten mit falschen Zeitstempeln und irreführenden Informationen oder das Ändern kritischer Informationen umfassen, sodass es so aussieht, als ob der Zugriff nie gewährt wurde.

Wenn Sie diese Phase verteidigen müssen, sollten Sie über eine Form der Endpunktinstrumentierung verfügen, um Installationsaktivitäten zu erkennen und zu protokollieren, z. B.:

Verstehen, ob Malware Administratorrechte erfordert oder nicht
Warnmeldungen oder Blockieren gängiger Installationspfade
Überwachung der Endpunktverarbeitung zur Erkennung abnormaler Dateierstellungen
Extrahieren von Zertifikaten aus signierten ausführbaren Dateien
Verstehen der Kompilierzeit von Malware, um festzustellen, ob sie alt oder neu ist

6. Führung und Kontrolle (C2)

In der Regel kommunizieren kompromittierte Hosts mit einem externen Server, um einen Command-and-Control-Kanal einzurichten. Sobald die Verbindung hergestellt ist, haben die Eindringlinge über die Tastatur Zugriff auf die Zielumgebung.

Diese Phase ist wahrscheinlich die letzte Chance, den Vorgang zu blockieren, wenn Angreifer keine Befehle erteilen können, um Auswirkungen zu verhindern.

Entdecken Sie die C2-Infrastruktur durch Malware-Analyse
Härten Sie Ihr Netzwerk, indem Sie die Anzahl der Internet-Points of Presence konsolidieren und Proxys für alle Arten von Datenverkehr (HTTP, DNS) anfordern
Anpassen von Blöcken von C2-Protokollen auf Web-Proxys
Proxy-Kategorieblöcke, einschließlich "keiner" oder "nicht kategorisierter" Domains
Verhindern Sie das Halten von DNS-Senken und die Vergiftung von Nameservern
Führen Sie Open-Source-Recherchen durch, um neue C2-Infrastrukturen für Angreifer zu entdecken

7. Maßnahmen zur Erreichung der Ziele

Nachdem sie die sechs vorherigen Phasen der Intrusion Kill Chain durchlaufen haben, können Eindringlinge Maßnahmen ergreifen, um ihre ursprünglichen Ziele zu erreichen. Dabei handelt es sich in der Regel um eine Verletzung der Vertraulichkeit, Integrität oder Verfügbarkeit oder einer Kombination der drei.

Alternativ können die Angreifer nur Zugriff auf das ursprüngliche Opfer haben, um weitere Systeme zu kompromittieren und laterale Bewegungen zu nutzen, um Zugriff auf neue Systeme zu erhalten, die tiefer im Netzwerk liegen.

Erstellung eines Playbooks für die Reaktion auf Vorfälle, einschließlich der Einbindung der Geschäftsleitung und eines Kommunikationsplans
Erkennen Sie Datenexfiltration, laterale Bewegung und unbefugte Verwendung von Anmeldeinformationen
Sofortige Reaktion des Analysten auf alle Warnungen
Forensische Agenten, die für eine schnelle Triage vorab auf Endpunkten bereitgestellt werden
Erfassung von Netzwerkpaketen zur Wiederherstellung der Aktivität
Durchführung einer Schadensbewertung mit Fachexperten

Für die Bewertung Ihrer Informationssicherheitskontrollen kann UpGuard BreachSight Ihr Unternehmen auf 70+ Sicherheitskontrollen überwachen, eine einfache, leicht verständliche Cybersicherheitsbewertung bieten und automatisch kompromittierte Anmeldeinformationen und Datenoffenlegungen in S3-Buckets, Rsync-Servern, GitHub-Repos und mehr erkennen.

Dazu gehören offene Ports und andere Dienste, die dem öffentlichen Internet ausgesetzt sind. Unsere Plattform sucht explizit nach fast 200 Diensten, die über Tausende von Ports laufen, und meldet alle Dienste, die wir nicht identifizieren können, sowie alle offenen Ports, bei denen keine Dienste erkannt wurden.

UpGuard Vendor Risk kann den Zeitaufwand Ihres Unternehmens für die Bewertung der damit verbundenen Informationssicherheitskontrollen und der Informationssicherheitskontrollen von Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und Vorlagen für Lieferantenfragebögen bereitstellt.

Unsere Expertise wurde unter anderem in der New York Times, dem Wall Street Journal, Bloomberg, der Washington Post, Forbes, Reuters und TechCrunch veröffentlicht.

Lesen Sie mehr darüber, was unsere Kunden in den Gartner-Bewertungen sagen.