Il Cyber kill chain è un modello definito dalla Lockheed Martin, per l'identificazione e la prevenzione delle attività di intrusione informatica attraverso l'implementazione di protocolli di sicurezza pro-attivi. Tale modello è a sua volta ispirato al kill chain, un modello militare che identifica le fasi di un attacco in:
identificazione e posizione del bersaglio; acquisizione informazioni sul bersaglio (inclusa l'elencazione delle sue risorse); invio e dispiegamento delle truppe (con conseguenti regole di ingaggio) contro il bersaglio; inizio dell'attacco contro il bersaglio.
Il metodo di difesa o di azione preventiva contro una kill chain di un attaccante viene definito breaking.
Le fasi della cyber kill chain
Ricognizione Acquisizione di informazioni sul bersaglio dell'attaccante.
Armamento L'attaccante valuta le falle di sicurezza del bersaglio ed i vettori di attacco.
Distribuzione Distribuzione dei vettori d'attacco che possono essere hardware (usb, cd, dvd, ecc.) o software.
Sfruttamento Rilevata la falla di sicurezza (zero day o nota) viene sfruttata (exploit in inglese) dall'attaccante.
Installazione Ottenuto l'accesso al sistema del bersaglio attraverso l'intrusione abusiva l'attaccante lo può manomettere (tampering in inglese) attraverso codice malevolo.
Comando e controllo L'attaccante gestisce l'attacco da remoto, avendo ormai il controllo delle macchine del bersaglio, ed implementa attacchi di basso profilo (ad esempio Denial of Service) per depistare (red herring) e celare il suo vero movente a discapito del bersaglio (target).
Azioni sugli obiettivi L'attaccante implementa l'attacco chiave o finale per ottenere il risultato (fraudolento) sperato sul bersaglio.
L'ottava fase
Monetizzazione In riferimento ad altri modelli (come il triangolo della truffa - giustificazione, movente, opportunità), gli esperti del settore hanno aggiunto un'ottava fase al modello della Lockheed Martin, che rappresenta l'ingiusto profitto dell'attaccante (materiale o non materiale).
Note
Categoria:Lockheed Martin