Kill chain é um conceito muito utilizado por militares, que é uma abordagem passo a passo para identificar e interromper a atividade inimiga. Cyber kill chain, portanto, nada mais é do que os caminhos de um ataque que levam até um alvo. Cyber kill chain detalha os estágios de vários ciberataques comuns e, por extensão, os principais pontos através dos quais uma equipe de segurança pode prevenir, detectar ou interceptar atacantes.
À medida que as organizações amadurecem, elas procuram novos modelos que lhes permitam entender melhor como os atacantes operam e como podem se defender melhor contra eles. Em teoria, ao compreender as etapas pelas quais um ataque avança, as equipes de segurança terão mais chances de detê-los ou de forçá-los a fazerem barulho suficiente para que os atacantes sejam prontamente detectados.
Uma abordagem com cyber kill chain é muito utilizada por equipes de segurança para se defender contra ciberataques sofisticados, também conhecidos como ameaças persistentes avançadas (APTs), onde os adversários passam um tempo significativo pesquisando e planejando um ataque. Geralmente esses ataques envolvem uma combinação de malware, ransomware, trojans, spoofing e técnicas de engenharia social para realizar uma invasão.
A kill chain pode ser utilizada durante a realização de testes de intrusão, e evidencia como possíveis atacantes se movem através de redes para identificar vulnerabilidades que podem ser exploradas. A kill chain de um ataque possui algumas etapas:
- Reconhecimento: coleta e compilação de informações. A defesa necessária para evitar essa etapa é higiene de segurança cibernética
- Armamento: estágio em que o invasor está criando o ataque e, portanto, existem poucos controles de segurança que podem ter um impacto neste estágio.
- Entrega: esta é a terceira fase e refere-se aos vetores de ataque usados para entregar cargas maliciosas.
- Exploração: visa as vulnerabilidades de uma aplicação ou sistema operacional. Esta é a etapa em que o ataque é executado. Por isso a importância de se garantir que os sistemas estejam atualizados e tenham proteções ativas.
- Instalação: fase em que o invasor instala o malware no alvo.
- Controle e comando: o invasor obtém controle manual, ocorre quando o alvo já está comprometido.
- Ações finais: com acesso e controle dentro de uma rede alvo, o atacante pode executar seus objetivos, como extração de dados e informações, por exemplo.
No contexto de um teste de intrusão e a partir da perspectiva externa do atacante, por meio de um kill chain Risk Score é possível mensurar o potencial e possível impacto dos resultados obtidos caso fossem alcançados por um cibercriminoso. Kill Chain Risk Score é, em linhas gerais, um indicador que mede o estrago que pode ser feito em um alvo, através de um ataque – ele independe do tempo de ataque e considera o possível impacto de um ataque à disponibilidade, confidencialidade e integridade, que são os três pilares de segurança cibernética.
