{"id":4753,"date":"2026-08-11T20:58:55","date_gmt":"2026-08-11T18:58:55","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4753"},"modified":"2026-08-11T22:47:34","modified_gmt":"2026-08-11T20:47:34","slug":"cyber-kill-chain","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/cyber-kill-chain","title":{"rendered":"Cyber Kill Chain"},"content":{"rendered":"<p><strong>Cyber Kill Chain<\/strong> to model, kt\u00f3ry pokazuje ukierunkowany cyberatak jako ci\u0105g nast\u0119puj\u0105cych po sobie krok\u00f3w \u2014 od zebrania informacji o ofierze a\u017c po osi\u0105gni\u0119cie w\u0142a\u015bciwego celu napastnika. Opracowa\u0142a go w 2011 r. firma Lockheed Martin w ramach koncepcji <em>Intelligence Driven Defense<\/em>, przenosz\u0105c do \u015bwiata sieci wojskowe poj\u0119cie \u0142a\u0144cucha ra\u017cenia (<em>kill chain<\/em>). Najwa\u017cniejsza my\u015bl modelu jest prosta: napastnik musi przej\u015b\u0107 przez wszystkie ogniwa \u0142a\u0144cucha, a obro\u0144cy wystarczy zerwa\u0107 jedno, \u017ceby zatrzyma\u0107 ca\u0142y atak.<\/p>\n<h2>Jakie s\u0105 fazy Cyber Kill Chain?<\/h2>\n<p>Klasyczny model Lockheed Martin ma siedem faz. W praktyce ataki rzadko id\u0105 przez nie po kolei \u2014 niekt\u00f3re etapy bywaj\u0105 \u0142\u0105czone albo pomijane.<\/p>\n<ol>\n<li><strong>Rozpoznanie (Reconnaissance):<\/strong> zbieranie informacji o celu \u2014 OSINT, mapowanie domen i podsieci, skanowanie port\u00f3w, ustalanie, jakie us\u0142ugi s\u0105 wystawione na zewn\u0105trz, kim s\u0105 pracownicy i kontrahenci (\u0142a\u0144cuch dostaw).<\/li>\n<li><strong>Uzbrojenie (Weaponization):<\/strong> przygotowanie \u0142adunku \u2014 po\u0142\u0105czenie exploita z payloadem, czyli kodem do uruchomienia na komputerze ofiary (np. dokument z makrem, spreparowany plik, implant). Dzieje si\u0119 to po stronie napastnika, bez kontaktu z ofiar\u0105.<\/li>\n<li><strong>Dostarczenie (Delivery):<\/strong> przekazanie \u0142adunku do celu \u2014 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/phishing\">phishing<\/a> i spear-phishing, z\u0142o\u015bliwa strona WWW (<em>drive-by<\/em>), no\u015bnik USB, atak przez \u0142a\u0144cuch dostaw albo bezpo\u015brednie uderzenie w wystawion\u0105 us\u0142ug\u0119.<\/li>\n<li><strong>Eksploitacja (Exploitation):<\/strong> uruchomienie \u0142adunku przez wykorzystanie podatno\u015bci w oprogramowaniu, b\u0142\u0119dnej konfiguracji lub nieuwagi u\u017cytkownika. W efekcie kod napastnika zaczyna dzia\u0142a\u0107 w \u015brodowisku ofiary.<\/li>\n<li><strong>Instalacja (Installation):<\/strong> zadomowienie si\u0119 na sta\u0142e (<em>persistence<\/em>) \u2014 backdoor, implant, wpis w autostarcie, us\u0142uga lub zadanie. Dzi\u0119ki temu dost\u0119p przetrwa restart komputera.<\/li>\n<li><strong>Dowodzenie i kontrola (Command &amp; Control, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/c2-cc-command-and-control\">C2<\/a>):<\/strong> ustanowienie kana\u0142u sterowania ze zdalnym serwerem napastnika. Cz\u0119sto z szyfrowaniem, tunelowaniem w ruchu <code>HTTPS<\/code> lub <code>DNS<\/code> i maskowaniem (<em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/beaconing\">beaconing<\/a><\/em>, domain fronting).<\/li>\n<li><strong>Realizacja celu (Actions on Objectives):<\/strong> to, po co napastnik przyszed\u0142 \u2014 kradzie\u017c danych, szyfrowanie (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ransomware\">ransomware<\/a>), zdobywanie wy\u017cszych uprawnie\u0144, ruch boczny (<em><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/lateral-movement-ruch-boczny\">lateral movement<\/a><\/em>), niszczenie lub podmiana danych.<\/li>\n<\/ol>\n<h2>Jak Cyber Kill Chain wspiera obron\u0119?<\/h2>\n<p>Si\u0142a modelu polega na tym, \u017ce do ka\u017cdej fazy mo\u017cna dopi\u0105\u0107 konkretne sposoby wykrywania i blokowania ataku. Im wcze\u015bniej zerwiemy \u0142a\u0144cuch, tym mniejsza szkoda. Oto przyk\u0142adowe kontrole w uj\u0119ciu \u201ewykryj \u2014 utrudnij \u2014 przerwij&#8221;:<\/p>\n<ul>\n<li><strong>Rozpoznanie:<\/strong> zmniejszanie powierzchni ataku, wykrywanie skanowania, analiza log\u00f3w na brzegu sieci.<\/li>\n<li><strong>Dostarczenie:<\/strong> filtrowanie poczty, sprawdzanie za\u0142\u0105cznik\u00f3w w izolowanym \u015brodowisku (sandbox), zabezpieczenia <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/dns\">DNS<\/a> i ruchu webowego, \u015bwiadomo\u015b\u0107 u\u017cytkownik\u00f3w.<\/li>\n<li><strong>Eksploitacja i instalacja:<\/strong> zarz\u0105dzanie podatno\u015bciami i \u0142atkami, hardening, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/edr\">EDR<\/a>, dopuszczanie tylko zaufanych aplikacji (allowlisting), ograniczanie uprawnie\u0144.<\/li>\n<li><strong>C2:<\/strong> obserwacja ruchu sieciowego pod k\u0105tem nietypowych po\u0142\u0105cze\u0144 wychodz\u0105cych, sprawdzanie reputacji domen, wykrywanie regularnego beaconingu.<\/li>\n<li><strong>Realizacja celu:<\/strong> <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/data-loss-prevention-dlp\">DLP<\/a>, segmentacja sieci, wykrywanie ruchu bocznego i nietypowych transfer\u00f3w danych, plan reagowania na incydenty.<\/li>\n<\/ul>\n<h2>Dlaczego Cyber Kill Chain jest istotny dla SOC i monitoringu sieci?<\/h2>\n<p>Zespo\u0142om <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a> i monitoringu sieci model pomaga uporz\u0105dkowa\u0107 dane (telemetri\u0119) wok\u00f3\u0142 etap\u00f3w ataku i sprawdzi\u0107, kt\u00f3re \u017ar\u00f3d\u0142a pokrywaj\u0105 kt\u00f3re fazy. Cz\u0119\u015b\u0107 faz zostawia \u015blady g\u0142\u00f3wnie w warstwie sieciowej:<\/p>\n<ul>\n<li><strong>Dostarczenie i C2<\/strong> wida\u0107 w ruchu sieciowym. Analiza przep\u0142yw\u00f3w (<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/netflow\">NetFlow<\/a>\/<a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ipfix\">IPFIX<\/a>), zapyta\u0144 <code>DNS<\/code>, certyfikat\u00f3w <code>TLS<\/code> i metadanych ruchu szyfrowanego (np. fingerprinting <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ja3-ja4-fingerprinting\">JA3<\/a>\/JA4) pozwala wykry\u0107 kana\u0142y sterowania nawet bez deszyfracji.<\/li>\n<li><strong>Beaconing C2<\/strong> ma charakterystyczn\u0105 regularno\u015b\u0107 \u2014 sta\u0142y odst\u0119p mi\u0119dzy po\u0142\u0105czeniami, podobny rozmiar pakiet\u00f3w. To da si\u0119 wy\u0142apa\u0107 metodami statystycznymi i behawioralnymi.<\/li>\n<li><strong>Ruch boczny i eksfiltracja<\/strong> ujawniaj\u0105 si\u0119 jako anomalie w komunikacji wewn\u0105trz sieci (east\u2013west), nietypowe wolumeny transferu albo po\u0142\u0105czenia do nowych miejsc \u2014 wewn\u0105trz i na zewn\u0105trz.<\/li>\n<\/ul>\n<p>Przypisanie alert\u00f3w do faz \u0142a\u0144cucha u\u0142atwia ustawianie priorytet\u00f3w. Wykrycie na etapie C2 lub realizacji celu oznacza, \u017ce napastnik jest ju\u017c g\u0142\u0119boko w \u015brodowisku i trzeba reagowa\u0107 natychmiast. Sygna\u0142y z wczesnych faz daj\u0105 wi\u0119cej czasu na zatrzymanie ataku.<\/p>\n<h2>Czym r\u00f3\u017cni si\u0119 Cyber Kill Chain od MITRE ATT&amp;CK?<\/h2>\n<p>Oba modele cz\u0119sto id\u0105 w parze, ale dzia\u0142aj\u0105 na innym poziomie szczeg\u00f3\u0142owo\u015bci:<\/p>\n<ul>\n<li><strong>Cyber Kill Chain<\/strong> jest <em>liniowy<\/em> i og\u00f3lny \u2014 opisuje kolejno\u015b\u0107 faz ataku, dobrze nadaje si\u0119 do planowania i m\u00f3wienia o tym, jak daleko zasz\u0142a intruzja.<\/li>\n<li><strong>MITRE ATT&amp;CK<\/strong> to obszerna, nieliniowa baza wiedzy o konkretnych taktykach, technikach i procedurach (TTP) napastnik\u00f3w. Techniki nie uk\u0142adaj\u0105 si\u0119 w sztywn\u0105 kolejno\u015b\u0107 i przypisuje si\u0119 je do realnych obserwacji.<\/li>\n<\/ul>\n<p>W skr\u00f3cie: Kill Chain odpowiada na pytanie \u201ena jakim etapie jeste\u015bmy&#8221;, a ATT&amp;CK na \u201ejak\u0105 dok\u0142adnie technik\u0119 widzimy i jak j\u0105 wykry\u0107&#8221;. Razem daj\u0105 widok i strategiczny, i operacyjny.<\/p>\n<h2>Jakie s\u0105 ograniczenia modelu Cyber Kill Chain?<\/h2>\n<p>Model bywa krytykowany \u2014 g\u0142\u00f3wnie dlatego, \u017ce odzwierciedla realia z okolic 2011 r.:<\/p>\n<ul>\n<li><strong>Liniowo\u015b\u0107:<\/strong> zak\u0142ada uporz\u0105dkowan\u0105 kolejno\u015b\u0107, podczas gdy prawdziwe ataki \u0142\u0105cz\u0105 lub pomijaj\u0105 fazy. Du\u017ca cz\u0119\u015b\u0107 intruzji \u015bciska pierwsze etapy w jedno dzia\u0142anie.<\/li>\n<li><strong>Nastawienie na obw\u00f3d i <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/malware\">malware<\/a>:<\/strong> dobrze opisuje atak z zewn\u0105trz oparty na dostarczeniu \u0142adunku, ale gorzej radzi sobie z technikami <em>living-off-the-land<\/em> (wykorzystaniem narz\u0119dzi ju\u017c obecnych w systemie), atakami bezplikowymi, nadu\u017cyciem wa\u017cnych po\u015bwiadcze\u0144 czy podatno\u015bciami aplikacji webowych (np. <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/sql-injection-sqli\">SQL injection<\/a>, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/xss-cross-site-scripting\">XSS<\/a>).<\/li>\n<li><strong>Pomija zagro\u017cenia wewn\u0119trzne:<\/strong> pierwsze fazy dziej\u0105 si\u0119 poza infrastruktur\u0105 organizacji, wi\u0119c model nie obejmuje z\u0142o\u015bliwych insider\u00f3w ani nadu\u017cycia legalnego dost\u0119pu.<\/li>\n<li><strong>S\u0142abo pasuje do chmury i to\u017csamo\u015bci:<\/strong> \u015brodowiska cloud, SaaS, kontenery i ataki na to\u017csamo\u015b\u0107 nie mieszcz\u0105 si\u0119 dobrze w pierwotnym schemacie nastawionym na sie\u0107 i punkty ko\u0144cowe.<\/li>\n<\/ul>\n<h2>Co to jest Unified Kill Chain?<\/h2>\n<p><strong>Unified Kill Chain<\/strong> to rozszerzenie zaproponowane w 2017 r. przez Paula Polsa, kt\u00f3re \u0142\u0105czy Cyber Kill Chain z MITRE ATT&amp;CK. Zamiast siedmiu faz definiuje 18 po\u0142\u0105czonych etap\u00f3w, zwykle pogrupowanych w trzy bloki: zdobycie przycz\u00f3\u0142ka (<em>initial foothold<\/em>), rozprzestrzenianie si\u0119 w sieci (<em>network propagation<\/em>) i dzia\u0142ania na celu (<em>actions on objectives<\/em>). Lepiej oddaje ruch boczny, persystencj\u0119 i wieloetapowe kampanie, w tym elementy zagro\u017ce\u0144 wewn\u0119trznych, kt\u00f3rych klasyczny \u0142a\u0144cuch nie obejmuje.<\/p>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/mittre-attck\">MITTRE ATT&#038;CK<\/a> \u2014 MITRE ATT&#038;CK mapuje zachowania atakuj\u0105cych, kt\u00f3re mo\u017cna powi\u0105za\u0107 z etapami Cyber Kill Chain.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/supply-chain-attack\">Supply Chain Attack<\/a> \u2014 Atak na \u0142a\u0144cuch dostaw mo\u017ce rozpocz\u0105\u0107 faz\u0119 dostarczenia lub inicjacji ataku w Cyber Kill Chain.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/cyber-threat-intelligence\">Cyber Threat Intelligence<\/a> \u2014 Cyber Threat Intelligence dostarcza danych do wykrywania i mapowania etap\u00f3w Cyber Kill Chain.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4753","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Cyber Kill Chain","ikona":"","krotki_opis":"Model, kt\u00f3ry pokazuje cyberatak jako siedem kolejnych faz \u2014 od rozpoznania po realizacj\u0119 celu \u2014 i pomaga wykrywa\u0107 oraz przerywa\u0107 atak na ka\u017cdym etapie."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4753","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4753"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}