Введение
Cyber Kill Chain – модель, разработанная компанией Lockheed Martin в 2011 году и заимствованная из военной концепции «цепочки поражения». Описывает последовательность из семи этапов, которые атакующий должен пройти для достижения цели. Ключевая идея: прервать цепочку на любом этапе – значит нейтрализовать атаку. Защитник должен обнаруживать атаки как можно раньше, до нанесения ущерба.
История и контекст
Модель опубликована в работе Lockheed Martin «Intelligence-Driven Computer Network Defense» (2011) и стала одной из первых попыток формализовать жизненный цикл APT-атаки. Kill Chain хорошо описывает целевые (targeted) атаки, хотя критики отмечают, что он слабо охватывает инсайдерские угрозы и не учитывает горизонтальное перемещение внутри сети. В ответ появились расширения: Unified Kill Chain (2017, 18 этапов) и более детальный MITRE ATT&CK.
Семь этапов Cyber Kill Chain
- Reconnaissance (Разведка) – сбор информации о цели: OSINT, сканирование, анализ публичных данных сотрудников.
- Weaponization (Вооружение) – создание вредоносного инструмента: эксплойт + payload (Trojan, Backdoor, Ransomware).
- Delivery (Доставка) – доставка оружия жертве: фишинговое письмо, drive-by download, USB-носитель.
- Exploitation (Эксплуатация) – использование уязвимости для выполнения кода в системе жертвы.
- Installation (Установка) – закрепление в системе: установка backdoor, создание записей в автозапуске.
- Command and Control (C2) – установление канала управления с сервером атакующего.
- Actions on Objectives (Действия) – достижение цели: кража данных, шифрование, уничтожение, диверсия.
Где применяется
- SOC-аналитика – маппинг алертов на этапы Kill Chain для понимания стадии атаки и приоритизации реагирования.
- Red Team – планирование сценариев атаки по последовательности этапов.
- Разработка правил корреляции SIEM – детекция на каждом этапе.
- Обучение ИБ-специалистов – базовая модель для понимания жизненного цикла атак.
Преимущества и ограничения
Простота и наглядность; хорошо подходит для описания APT-атак. Ограничения: линейная модель не охватывает многовекторные атаки; не описывает lateral movement внутри сети; не применима к инсайдерским угрозам. Для детального описания TTP рекомендуется использовать совместно с MITRE ATT&CK.
Связь с другими понятиями
Kill Chain предшествует MITRE ATT&CK, который детализирует каждый этап. Используется для анализа Ransomware, фишинга и Supply-chain Attack. Red Team строит сценарии по Kill Chain. Threat Intelligence позволяет идентифицировать, на каком этапе находится атакующий.
