Cyber Kill Chain

Cyber Kill Chain to model, który pokazuje ukierunkowany cyberatak jako ciąg następujących po sobie kroków — od zebrania informacji o ofierze aż po osiągnięcie właściwego celu napastnika. Opracowała go w 2011 r. firma Lockheed Martin w ramach koncepcji Intelligence Driven Defense, przenosząc do świata sieci wojskowe pojęcie łańcucha rażenia (kill chain). Najważniejsza myśl modelu jest prosta: napastnik musi przejść przez wszystkie ogniwa łańcucha, a obrońcy wystarczy zerwać jedno, żeby zatrzymać cały atak.

Jakie są fazy Cyber Kill Chain?

Klasyczny model Lockheed Martin ma siedem faz. W praktyce ataki rzadko idą przez nie po kolei — niektóre etapy bywają łączone albo pomijane.

1. Rozpoznanie (Reconnaissance): zbieranie informacji o celu — OSINT, mapowanie domen i podsieci, skanowanie portów, ustalanie, jakie usługi są wystawione na zewnątrz, kim są pracownicy i kontrahenci (łańcuch dostaw).
2. Uzbrojenie (Weaponization): przygotowanie ładunku — połączenie exploita z payloadem, czyli kodem do uruchomienia na komputerze ofiary (np. dokument z makrem, spreparowany plik, implant). Dzieje się to po stronie napastnika, bez kontaktu z ofiarą.
3. Dostarczenie (Delivery): przekazanie ładunku do celu — phishing i spear-phishing, złośliwa strona WWW (drive-by), nośnik USB, atak przez łańcuch dostaw albo bezpośrednie uderzenie w wystawioną usługę.
4. Eksploitacja (Exploitation): uruchomienie ładunku przez wykorzystanie podatności w oprogramowaniu, błędnej konfiguracji lub nieuwagi użytkownika. W efekcie kod napastnika zaczyna działać w środowisku ofiary.
5. Instalacja (Installation): zadomowienie się na stałe (persistence) — backdoor, implant, wpis w autostarcie, usługa lub zadanie. Dzięki temu dostęp przetrwa restart komputera.
6. Dowodzenie i kontrola (Command & Control, C2): ustanowienie kanału sterowania ze zdalnym serwerem napastnika. Często z szyfrowaniem, tunelowaniem w ruchu HTTPS lub DNS i maskowaniem (beaconing, domain fronting).
7. Realizacja celu (Actions on Objectives): to, po co napastnik przyszedł — kradzież danych, szyfrowanie (ransomware), zdobywanie wyższych uprawnień, ruch boczny (lateral movement), niszczenie lub podmiana danych.

Jak Cyber Kill Chain wspiera obronę?

Siła modelu polega na tym, że do każdej fazy można dopiąć konkretne sposoby wykrywania i blokowania ataku. Im wcześniej zerwiemy łańcuch, tym mniejsza szkoda. Oto przykładowe kontrole w ujęciu „wykryj — utrudnij — przerwij”:

• Rozpoznanie: zmniejszanie powierzchni ataku, wykrywanie skanowania, analiza logów na brzegu sieci.
• Dostarczenie: filtrowanie poczty, sprawdzanie załączników w izolowanym środowisku (sandbox), zabezpieczenia DNS i ruchu webowego, świadomość użytkowników.
• Eksploitacja i instalacja: zarządzanie podatnościami i łatkami, hardening, EDR, dopuszczanie tylko zaufanych aplikacji (allowlisting), ograniczanie uprawnień.
• C2: obserwacja ruchu sieciowego pod kątem nietypowych połączeń wychodzących, sprawdzanie reputacji domen, wykrywanie regularnego beaconingu.
• Realizacja celu: DLP, segmentacja sieci, wykrywanie ruchu bocznego i nietypowych transferów danych, plan reagowania na incydenty.

Dlaczego Cyber Kill Chain jest istotny dla SOC i monitoringu sieci?

Zespołom SOC, NDR i monitoringu sieci model pomaga uporządkować dane (telemetrię) wokół etapów ataku i sprawdzić, które źródła pokrywają które fazy. Część faz zostawia ślady głównie w warstwie sieciowej:

• Dostarczenie i C2 widać w ruchu sieciowym. Analiza przepływów (NetFlow/IPFIX), zapytań DNS, certyfikatów TLS i metadanych ruchu szyfrowanego (np. fingerprinting JA3/JA4) pozwala wykryć kanały sterowania nawet bez deszyfracji.
• Beaconing C2 ma charakterystyczną regularność — stały odstęp między połączeniami, podobny rozmiar pakietów. To da się wyłapać metodami statystycznymi i behawioralnymi.
• Ruch boczny i eksfiltracja ujawniają się jako anomalie w komunikacji wewnątrz sieci (east–west), nietypowe wolumeny transferu albo połączenia do nowych miejsc — wewnątrz i na zewnątrz.

Przypisanie alertów do faz łańcucha ułatwia ustawianie priorytetów. Wykrycie na etapie C2 lub realizacji celu oznacza, że napastnik jest już głęboko w środowisku i trzeba reagować natychmiast. Sygnały z wczesnych faz dają więcej czasu na zatrzymanie ataku.

Czym różni się Cyber Kill Chain od MITRE ATT&CK?

Oba modele często idą w parze, ale działają na innym poziomie szczegółowości:

• Cyber Kill Chain jest liniowy i ogólny — opisuje kolejność faz ataku, dobrze nadaje się do planowania i mówienia o tym, jak daleko zaszła intruzja.
• MITRE ATT&CK to obszerna, nieliniowa baza wiedzy o konkretnych taktykach, technikach i procedurach (TTP) napastników. Techniki nie układają się w sztywną kolejność i przypisuje się je do realnych obserwacji.

W skrócie: Kill Chain odpowiada na pytanie „na jakim etapie jesteśmy”, a ATT&CK na „jaką dokładnie technikę widzimy i jak ją wykryć”. Razem dają widok i strategiczny, i operacyjny.

Jakie są ograniczenia modelu Cyber Kill Chain?

Model bywa krytykowany — głównie dlatego, że odzwierciedla realia z okolic 2011 r.:

• Liniowość: zakłada uporządkowaną kolejność, podczas gdy prawdziwe ataki łączą lub pomijają fazy. Duża część intruzji ściska pierwsze etapy w jedno działanie.
• Nastawienie na obwód i malware: dobrze opisuje atak z zewnątrz oparty na dostarczeniu ładunku, ale gorzej radzi sobie z technikami living-off-the-land (wykorzystaniem narzędzi już obecnych w systemie), atakami bezplikowymi, nadużyciem ważnych poświadczeń czy podatnościami aplikacji webowych (np. SQL injection, XSS).
• Pomija zagrożenia wewnętrzne: pierwsze fazy dzieją się poza infrastrukturą organizacji, więc model nie obejmuje złośliwych insiderów ani nadużycia legalnego dostępu.
• Słabo pasuje do chmury i tożsamości: środowiska cloud, SaaS, kontenery i ataki na tożsamość nie mieszczą się dobrze w pierwotnym schemacie nastawionym na sieć i punkty końcowe.

Co to jest Unified Kill Chain?

Unified Kill Chain to rozszerzenie zaproponowane w 2017 r. przez Paula Polsa, które łączy Cyber Kill Chain z MITRE ATT&CK. Zamiast siedmiu faz definiuje 18 połączonych etapów, zwykle pogrupowanych w trzy bloki: zdobycie przyczółka (initial foothold), rozprzestrzenianie się w sieci (network propagation) i działania na celu (actions on objectives). Lepiej oddaje ruch boczny, persystencję i wieloetapowe kampanie, w tym elementy zagrożeń wewnętrznych, których klasyczny łańcuch nie obejmuje.

Dowiedz się więcej

• MITTRE ATT&CK — MITRE ATT&CK mapuje zachowania atakujących, które można powiązać z etapami Cyber Kill Chain.
• Supply Chain Attack — Atak na łańcuch dostaw może rozpocząć fazę dostarczenia lub inicjacji ataku w Cyber Kill Chain.
• Cyber Threat Intelligence — Cyber Threat Intelligence dostarcza danych do wykrywania i mapowania etapów Cyber Kill Chain.