Lockheed Martin Cyber Kill Chain

Le framework Cyber Kill Chain (CKC) a été développé par Lockheed Martin en 2011. Il s'agit d'un modèle de défense piloté par le renseignement pour l'identification et la prévention des cyberattaques, en particulier celles qui peuvent être classées comme des menaces persistantes avancées (APT). Le CKC peut aider les équipes et les professionnels de la sécurité informatique à développer des stratégies, des produits et des plans pour détecter et contenir les attaques à différents stades, afin de créer un environnement informatique plus sécurisé. Ces dernières années, il est devenu la norme de facto pour décrire la manière dont les attaques peuvent se produire sur un réseau. Le CKC est divisé en sept niveaux différents, les sept niveaux devant être terminés pour réussir une attaque.

Étapes de la chaîne de destruction

[1] Reconnaissance :

Attaquants : les acteurs malveillants mènent des recherches sur l'organisation cible en utilisant généralement des méthodes de reconnaissance actives et passives, telles que la recherche d'enregistrements de domaine, le port d'une plage d'adresses IP publiques, l'analyse des vulnérabilités, la recherche d'employés sur les réseaux sociaux, etc.

Défenseurs : les attaques menées par les attaquants à ce stade prendront la forme de signes précurseurs, tels que des adresses IP qui analysent les ports ou les vulnérabilités, des employés contactés par des personnes qu'ils ne connaissent pas et des employés susceptibles de recevoir des demandes de connexion ou d'amis sur les réseaux sociaux.

[2] Armement :

Attaquants : les acteurs malveillants créent leur propre porte dérobée au lieu d'acheter des malwares classiques et hébergent ce fichier sur un domaine qui leur appartient. Ils écrivent ensuite une macro dans un document Microsoft Word qui se connecte au domaine appartenant à l'attaquant et télécharge le logiciel malveillant sur le système dans lequel le fichier a été ouvert.

Défenseurs : il est extrêmement difficile pour l'équipe de sécurité de détecter cette étape, car elle ne se produit pas dans son environnement et n'a donc aucune visibilité sur ce qui se passe en dehors de l'organisation (à l'exception des renseignements sur les cybermenaces). Les défenses classiques doivent être utilisées, telles qu'un antivirus, la sécurité des e-mails et le renforcement du système.

[3] Livraison :

Attaquants : des acteurs malveillants ont créé un e-mail de harponnage à partir des informations collectées sur la cible à partir de sources OSINT. L'e-mail contient un document Microsoft Office

contenant une macro malveillante qui exécutera un logiciel malveillant dans le contexte de l'utilisateur actuellement connecté.

Défenseurs : l'équipe de sécurité doit mettre en place des dispositifs de protection contre les e-mails, tels que le sandboxing des pièces jointes, qui doit être capable de détecter toute pièce jointe malveillante, telle que des fichiers binaires immédiatement malveillants ou des documents Word ou PDF malveillants.

[4] Exploitation :

Attaquants : des acteurs malveillants ont identifié une vulnérabilité qui, si elle est exploitée, peut leur fournir des privilèges supérieurs à ceux du compte compromis actuel, leur offrant ainsi un meilleur accès et la possibilité d'effectuer davantage d'actions.

Défenseurs : l'équipe de sécurité peut se préparer à cette étape en renforçant les systèmes et en mettant en œuvre des processus de gestion des vulnérabilités afin d'identifier et de corriger les vulnérabilités présentes à la fois en interne et en externe.

[5] Montage :

Attaquant : un acteur malveillant installe une porte dérobée et déploie des tactiques et des techniques de persistance pour s'assurer qu'il peut s'implanter au sein du système infecté et permettre ainsi un accès continu.

Défenseurs : l'équipe de sécurité peut déployer des agents logiciels EDR (Endpoint Detection and Response) sur des hôtes potentiellement infectés afin de détecter, d'enquêter et d'éradiquer toute présence malveillante.

[6] Commandement et contrôle :

Attaquants : l'acteur malveillant installe un logiciel malveillant qui ouvre un canal entre l'acteur malveillant et la machine distante, ce qui lui permet d'envoyer des commandes au logiciel malveillant et de tenter d'obtenir la capacité de terminer l'étape 7, à savoir les actions relatives aux objectifs.

Défenseurs : dernière étape pour le défenseur pour mettre fin à la menace, la prévention de l'exécution des ordres est essentielle

[7] Actions relatives aux objectifs :

Attaquants : l'acteur malveillant a réussi son attaque et a obtenu un accès au clavier. Il peut désormais tenter d'atteindre tous ses objectifs.

Défenseurs : le défenseur doit détecter cette étape le plus rapidement possible pour éviter d'autres dégâts et minimiser le temps que l'attaquant peut mettre à atteindre ses objectifs.

Est-ce dépassé ?

Il est difficile d'illustrer le fonctionnement des cyberattaques. Les attaques menées par des pirates informatiques, des États nations et des groupes APT évoluent au fil du temps et le modèle ne montre pas toujours comment l'attaque peut avoir lieu. De nombreux chercheurs en sécurité ont remarqué que la chaîne de cyberattaques ne décrit pas bien les menaces internes. De plus, les deux premières phases se déroulent généralement en dehors du réseau du défenseur, ce qui la rend beaucoup plus difficile à détecter. Afin de faire en sorte que le modèle fonctionne pour un plus grand nombre de scénarios, MITRE a combiné son framework ATT&CK avec la cyber kill chain pour développer la chaîne de destruction unifiée (UKC). L'UKC comprend 18 phases d'attaque uniques qui peuvent survenir lors d'une cyberattaque, y compris des éléments que le CKC a omis, tels que des activités à l'extérieur et au sein du réseau. À l'instar du CKC original, l'UKC peut être utilisé pour analyser et se défendre contre les attaques provenant des APT. Ainsi, bien que la Cyber Kill Chain soit toujours un cadre important, d'autres peuvent être plus appropriés.