Genauso wie jede Sicherheitslösung über ein Framework verfügt, um bösartige Prozesse auszusortieren, hat auch jeder Angreifer ein Framework, um in eine Infrastruktur einzudringen oder Perimeter-Abwehrmaßnahmen zu umgehen. Die Cyber Kill Chain ist ein Konzept, das entwickelt wurde, um komplexe Angriffe zu identifizieren und zu stoppen, bevor sie eskalieren oder sich auf Unternehmen auswirken. Es deckt mehrere Phasen dieser Angriffe ab und zeigt die Relevanz von Bedrohungen auf. Cyber-Kill-Chains können zur Verbesserung von Incident-Management- und Reaktionsmodellen eingesetzt werden.
Wenn sie richtig verstanden und implementiert werden, bieten sie Sicherheitsvorteile. Sicherheitsteams können ihre Schwachstellen aufdecken und zukünftige Fragen stellen, die dem Unternehmen zugutekommen. Außerdem liefern sie Informationen für die Cybersicherheitsstrategien eines Unternehmens und stärken dessen Abwehrmechanismen. In diesem Leitfaden wird erläutert, was eine Cyber-Kill-Chain ist, werden gängige Schritte einer Cyber-Kill-Chain hervorgehoben und weitere Informationen zum Rahmenwerk gegeben. Wenn Sie neugierig auf Cyber-Kill-Chains sind, dann ist dieser Beitrag ein guter Ausgangspunkt.
Was ist eine Cyber Kill Chain?
Die Cyber Kill Chain ist ein intelligentes Verteidigungsmodell, das ursprünglich von Lockheed Martin entwickelt wurde. Sein Zweck bestand darin, Sicherheitsteams dabei zu helfen, Cyberangriffe zu analysieren, zu verstehen und in Phasen zu unterteilen. Es handelt sich um ein Cyber Kill Chain-Modell, das die Phasen abbildet, die ein Angreifer durchläuft, bevor er die Verteidigungsmaßnahmen erfolgreich durchbrechen kann.
Die Phasen der Cyber Kill Chain geben einen Überblick über die Dauer von Advanced Persistent Threats (APTs) und zeigen die Abfolge der Ereignisse auf. Sie decken alle Phasen ab, von der ersten Erkundung bis zum Erreichen der Ziele des Angreifers.
Cyber Kill Chain vs. MITRE ATT&CK
Eine Cyber Kill Chain bietet einen detaillierten Überblick über feindliche Verhaltensweisen und Taktiken. Sie wird häufig bei Red Teaming, forensischen Analysen und der Reaktion auf Vorfälle eingesetzt. Das MITRE ATT&CK-Framework wurde entwickelt, um tiefere Einblicke zu ermöglichen und eine größere Anpassungsfähigkeit gegenüber verschiedenen Bedrohungen zu bieten. Cyber Kill Chains werden verwendet, um eine solide Grundlage zu schaffen und proaktive Verteidigungsstrategien zu entwickeln. Sie eignen sich hervorragend für Unternehmen, die eine Kombination aus Intrusion Detection Systemen, Firewalls und modernen Sicherheitslösungen einsetzen.
Wenn ein Unternehmen einen tieferen Einblick in die Vorgehensweise von Angreifern in der Cloud und in Endpunktumgebungen gewinnen möchte, ist das MITRE ATT&CK-Framework von Vorteil. Ein Cyber-Kill-Chain-Protokoll kann einen Angriff sofort stoppen und ist ein wertvolles Instrument zur Verbesserung der Sicherheitsmaßnahmen. MITRE ATT&CK ist detaillierter, flexibler und bildet reale Angriffstechniken, -taktiken und -verfahren (TTPs) ab. MITRE ATT&CK kann auch verwendet werden, um auf Bedrohungen in jeder Phase eines Angriffs zu reagieren, unabhängig davon, wo sie im Angriffszyklus auftreten.
Bedenken im Zusammenhang mit der Cyber Kill Chain
Das Cyber Kill Chain-Modell ist für die Erkennung von Multi-Vektor-Angriffen ungeeignet, da es einem linearen Ansatz folgt. Es kann nur Bedrohungen abbilden, die einen vorhersehbaren Weg nehmen. Cyber Kill Chain-Prozesse können schnell zerschlagen werden, wenn Angriffe über die Sequenz hinausgehen. Die Cyber Kill Chain berücksichtigt auch keine Insider-Bedrohungen und webbasierten Angriffe. Es handelt sich um ein statisches Modell zur Erkennung von Bedrohungen, das sich ausschließlich auf externe Bedrohungen konzentriert. Da es sich auf Perimeter-Sicherheit und Malware-Erkennung stützt, eignet es sich nicht gut für cloudbasierte Sicherheitsumgebungen.
Obwohl die Cyber Kill Chain bereits 2011 entwickelt wurde, wurde das Framework nicht aktualisiert, um es an die sich wandelnde Natur von Cyberbedrohungen anzupassen. Es ist nicht besonders wirksam gegen Bedrohungen auf RaaS-Ebene (https://www.sentinelone.com/cybersecurity-101/threat-intelligence/what-is-ransomware-as-a-service-raas/) und verfügt nur über begrenzte Erkennungsprofile. Die Cyber Kill Chain ist nicht flexibel und kann komplexe Angriffsszenarien nicht bewältigen. Außerdem fehlt ihr die Bedrohungsintelligenz, die für die Analyse aus mehreren Quellen erforderlich ist. Sie kann sogar weniger ausgefeilte Angriffe übersehen, wie z. B. "Spray-and-Pray"-Taktiken oder Bedrohungen, die nicht den üblichen Mustern folgen.
Wie funktioniert die Cyber Kill Chain?
Die Cyber Kill Chain unterteilt einen Angriff in mehrere Schritte und Phasen. Sie verfolgt einen strukturierten Ansatz, um die Vorgehensweise von Angreifern zu erkennen, und erörtert, wie diese in jeder Phase gestört werden können. Ein Angriff wird nicht als einzelnes Ereignis betrachtet.
Sie sucht weiterhin so früh wie möglich im Angriffszyklus nach den Schritten der Angreifer und wehrt diese ab. Wenn das Unternehmen seine Maßnahmen nicht umsetzt, kann dies langfristig schwerwiegende Folgen haben. Im Wesentlichen ist die Cyber Kill Chain ein Fahrplan oder eine Blaupause, an der sich Unternehmen orientieren können, um sich zu schützen und gegen die neuesten Cyber-Bedrohungen zu verteidigen.
threat-intelligence-ops-report1-purple
7 Phasen der Cyber Kill Chain
Die Cyber Kill Chain umfasst sieben Phasen, die wie folgt aussehen:
1. Aufklärung
Die Aufklärung ist die erste Phase des Cyber Kill Chain-Modells. Sie liefert Erkenntnisse über potenzielle Ziele und untersucht diese. Außerdem werden ihre Schwachstellen ermittelt und herausgefunden, mit welchen Dritten diese Ziele möglicherweise in Verbindung stehen. Außerdem werden Sie andere potenzielle Einstiegspunkte erkunden, neue finden, wobei die Aufklärung sowohl online als auch offline erfolgen kann.
2. Bewaffnung
Cyberwaffen und Killchain-Tools werden eingesetzt, um das Netzwerk des Ziels anzugreifen und zu infiltrieren. Diese Tools können Malware, Ransomware-Varianten, Payloads und andere bösartige Varianten umfassen.
3. Zustellung
Die Angreifer versuchen, Nutzer zu erreichen und versenden eine Vielzahl von Phishing-Mails, die bösartige Links enthalten. Die Betreffzeilen dieser E-Mails sollen das Opfer dazu verleiten oder auffordern, eine Aktion durchzuführen. Nach erfolgreicher Zustellung kann der Angreifer in das Netzwerk des Unternehmens eindringen und Hardware- und Software-Schwachstellen weiter ausnutzen.
4. Ausnutzung
Angreifer versuchen, tiefer in Netzwerke einzudringen und die Schwachstellen auszunutzen, die sie in den vorherigen Schritten entdeckt und ausgenutzt haben. Sie versuchen, ihre Ziele voranzutreiben und sich lateral über Netzwerke zu bewegen, um größere Ziele zu erreichen. Wenn bestimmte Ziele für das Netzwerk verantwortlich sind und keine notwendigen Sicherheitsmaßnahmen getroffen haben, werden Angreifer diese ins Visier nehmen.
5. Installation
In der Installationsphase wird versucht, Malware und andere Ransomware-Varianten auf den Zielnetzwerken zu installieren. Die Angreifer versuchen, die Kontrolle über Ihre Systeme zu übernehmen und sensible Daten zu exfiltrieren. Möglicherweise installieren sie auch andere Cyberwaffen, Trojaner, Backdoors und Befehlszeilenschnittstellen.
6. Befehls- und Kontrollphase (C2)
In der Befehls- und Kontrollphase der Cyberkill-Kette versuchen die Angreifer, mit der Malware zu kommunizieren, die sie gerade in Ihren Netzwerken platziert haben. Sie weisen die Tools an, bestimmte Aufgaben aus der Ferne auszuführen. Die Angreifer nutzen Kommunikationskanäle, um Computer zu steuern, die mit ihrer Malware und Botnets infiziert wurden. Sie können versuchen, Websites mit Datenverkehr zu überlasten oder C2-Server anweisen, ihre Mission auszuführen.
7. Maßnahmen zur Erreichung der Ziele
Dies ist die letzte Phase, in der Angreifer versuchen, ihre Ziele zu erreichen und erfolgreich zu sein. Ihre Ziele können je nach Art des Cyberangriffs variieren. Einige Angreifer versuchen, Ihre Dienste zu unterbrechen, sie lahmzulegen oder die Organisation vollständig online zu bringen. Sie können Malware verbreiten, um sensible Daten zu stehlen, Denial-of-Service-Angriffe starten oder Ransomware einsetzen, um die Organisation zu erpressen.
Einschränkungen der Cyber Kill Chain
Hier sind einige Nachteile und Einschränkungen von Cyber Kill Chains:
- Eine der größten Schwächen der Cyber Kill Chain-Phasen besteht darin, dass sie Insider-Bedrohungen nicht erkennen können. Angriffe, bei denen kompromittierte Anmeldedaten von Unbefugten verwendet werden, können ebenfalls nicht erkannt werden. Webbasierte Angriffe bleiben vom Cyber-Kill-Chain-Framework unbemerkt. Beispiele hierfür sind SQL-Injections, DOS- und DDOS-Angriffe, Cross-Site-Scripting, und Zero-Day-Exploits.
- Cyber-Killchain-Modelle können auch Angriffe übersehen, die nicht allzu kompliziert sind. Dazu gehören beispielsweise Angriffe, die keinen großen Forschungsaufwand erfordern und wenig ausgefeilt sind.
- Das Cyber-Kill-Chain-Framework kann grundlegende Varianten übersehen, insbesondere Spray-and-Pray-Angriffstaktiken, die durch reinen Zufall die besten Erkennungsschemata geschickt umgehen können.
Beispiele aus der Praxis für Cyber-Kill-Chains in Aktion
Hier sind einige Beispiele aus der Praxis für Cyber-Kill-Prozesse in Aktion:
Datenpanne bei Target (2013)
Die Angreifer begannen ihre Erkundung mit der Entdeckung von Schwachstellen bei Fazio Mechanical, dem Drittanbieter von Target für Heizungs-, Lüftungs- und Klimaanlagen. Nach der Malware-Waffenisierung von Phishing-E-Mails lieferten sie die Nutzlast an Fazio-Mitarbeiter und nutzten legitime Anmeldedaten des Anbieters, um in das Netzwerk von Target einzudringen. Malware zum Auslesen des Arbeitsspeichers wurde auf Kassenterminals geladen und stahl über Command-and-Control-Kommunikation 70 Millionen Kundendatensätze und 40 Millionen Kreditkartennummern.
Hack bei Sony Pictures Entertainment (2014)
Die Angreifer führten eine umfassende Erkundung der Infrastruktur von Sony durch, bevor sie Wiper-Malware und Backdoors einsetzten. Spear-Phishing-Nachrichten transportierten die Malware-Tools unter Verwendung gestohlener Administrator-Anmeldedaten, um bösartige Payloads im Netzwerk zu verbreiten. Die Command-and-Control-Kanäle blieben monatelang bestehen, was zur Zerstörung von Daten, zum Diebstahl von Filmen und zu Lösegeldforderungen führte, um die Veröffentlichung von "The Interview" zu verhindern.
SolarWinds Supply Chain Compromise (2020)
Die Angreifer nutzten den Update-Prozess von SolarWinds für Spionagezwecke und setzten legitime Updates als Waffen über die SUNBURST-Backdoor ein. Die Malware verbreitete sich über gekaperte Builds mit stillen Update-Vektoren zur Übertragung von Payloads auf 18.000 Benutzer. Die Befehls- und Kontrollkommunikation nutzte Domain-Generierungsalgorithmen zur Umgehung von Sicherheitsmaßnahmen, um Zugriff auf kommerzielle und staatliche Netzwerke mit sensiblen Informationen zu erhalten.
Ransomware-Angriff auf Colonial Pipeline (2021)
Die Angreifer der Ransomware DarkSide nutzten während der Erkundungsphase die VPN-Schwachstellen von Colonial Pipeline aus und setzten Payloads ein, die auf die Umgebung der Betriebstechnologie zugeschnitten waren. Gestohlene Anmeldedaten ermöglichten den ersten Zugriff, wobei die Wiederverwendung von Passwörtern und das Fehlen einer Multi-Faktor-Authentifizierung ausgenutzt wurden. Die Installation der Ransomware unterbrach den Pipeline-Betrieb, wobei Command-and-Control-Kanäle den Verschlüsselungsstatus überwachten, bis ein Lösegeld in Höhe von 4,4 Millionen US-Dollar gezahlt wurde.
Verbessern Sie die Sicherheit mit der Cyber Kill Chain und SentinelOne
Die KI-basierte Plattform zur Erkennung von Bedrohungen von SentinelOne kann das Cyber Kill Chain-Modell anwenden und in die Praxis umsetzen. Mit den Netzwerküberwachungsfunktionen von SentinelOne können Sie Aufklärungsoperationen erkennen. Die Offensive Security Engine von SentinelOne ist Angreifern immer mehrere Schritte voraus und kann Bedrohungen erkennen, bevor sie auftreten, und sie sogar vorhersagen. Während der Auslieferungs- und Waffenisierungsphase identifizieren die verhaltensbasierten KI-Engines von SentinelOne bösartige URLs und Dateien, bevor sie auf Endgeräten ausgeführt werden. Sie verfügen über eine signaturfreie Echtzeit-Erkennung zur Identifizierung neuer Bedrohungen. Sobald Angreifer die Ausnutzungsphase erreicht haben, überwacht die ActiveEDR-Technologie von SentinelOne die Systemaktivitäten, um böswillige Aktivitäten zu identifizieren und zu blockieren. Sie sollten die automatisierten Reaktionsfunktionen von SentinelOne implementieren, um betroffene Endpunkte sofort zu isolieren, wenn verdächtige Aktivitäten auftreten. Für die Installationsphase bietet SentinelOne Rollback-Funktionen, mit denen böswillige Änderungen rückgängig gemacht werden können. Über die einheitliche Verwaltungskonsole von SentinelOne erhalten Sie einen umfassenden Überblick über alle Systemaktivitäten. SentinelOne kann Assets, Ressourcen, Konten und andere Ereignisse über gesamte Cloud-Umgebungen hinweg abbilden.
Wenn Angreifer Command-and-Control-Kommunikation durchführen, erkennt und blockiert SentinelOne ausgehende Verbindungen zu bösartigen Servern. SentinelOne kann laterale Bewegungen über Netzwerke hinweg blockieren und die Eskalation von Berechtigungen verhindern. Es kann Bedrohungen unter Quarantäne stellen und Ransomware, Malware, Shadow IT, Zero-Days, Social Engineering und mehr bekämpfen. Mit SentinelOne können Sie außerdem Ihre sensiblen Daten sicher sichern und für eine hohe Datensicherheit sorgen. Die forensischen Tools von SentinelOne ermöglichen eine detaillierte Untersuchung nach einem Vorfall und helfen Ihnen so, Angriffsmuster zu verstehen und Ihre Abwehr gegen zukünftige Angriffe zu stärken.
Buchen Sie eine kostenlose Live-Demo.
Fazit
Das Verständnis der Cyber Kill Chain ermöglicht es Sicherheitsteams, Angriffe in jeder Phase zu unterbinden und so den Schutz vor sich ständig weiterentwickelnden Bedrohungen zu maximieren. Sie können dieses Framework in umsetzbare Verteidigungsstrategien umwandeln, indem Sie Sicherheitskontrollen für jede Phase festlegen. SentinelOne verwandelt dieses theoretische Modell durch seine autonome Plattform in praktischen Schutz und bietet Transparenz und Reaktionsmöglichkeiten in allen Phasen eines Angriffs. Wenn Sie umfassenden Schutz vor komplexen Bedrohungen benötigen, bietet SentinelOne die notwendigen Tools für eine moderne Verteidigung.
Setzen Sie noch heute SentinelOne ein. Stoppen Sie Angriffe sofort.
"FAQs
Die Cyber Kill Chain ist ein von Lockheed Martin entwickeltes, informationsgestütztes Verteidigungsframework, das Cyberangriffe in sieben aufeinanderfolgende Schritte unterteilt. Sie können dieses Framework anwenden, um Angriffssequenzen zu verstehen und gezielte Abwehrmaßnahmen für jeden Schritt zu entwickeln. Es zeigt, wie die Angreifer von der ersten Erkundung bis zur Erreichung ihres Ziels vorgehen.
Die sieben Phasen sind: 1) Aufklärung – Sammeln von Informationen über das Ziel, 2) Bewaffnung – Entwicklung bösartiger Payloads, 3) Lieferung – Lieferung der Waffen an die Ziele, 4) Ausnutzung – Ausführung von Schadcode, 5) Installation – Erlangung von Persistenz, 6) Befehl und Kontrolle – Einrichtung von Fernzugriffskanälen und 7) Maßnahmen zur Erreichung der Ziele – Umsetzung der Ziele des Angreifers, wie z. B. Datendiebstahl oder -zerstörung.
Unternehmen implementieren das Kill-Chain-Modell, indem sie ihre Abwehrmaßnahmen auf die einzelnen Angriffsphasen abstimmen. Sie können Frühwarn-Überwachungstools für die Aufklärungsphase, E-Mail-Filter zum Blockieren der Zustellung, Endpunktschutz für die Ausnutzungs- und Installationsphase, Netzwerküberwachung zur C2-Erkennung und Datenschutzkontrollen für den letzten Schritt installieren.
Die Cyber Kill Chain hilft Ihnen bei der Erkennung von Bedrohungen, indem sie Ihnen ein systematisches Verfahren zur Suche nach Angriffsindikatoren in jeder Phase bietet. Sie können nach Aufklärung durch ungewöhnliche Scans, Zustellung durch verdächtige E-Mails und Installation durch neue Dateien oder Änderungen in der Registrierung suchen. Wenn Sie nach diesen phasenspezifischen Indikatoren suchen, können Sie Angriffe früher in ihrem Zyklus erkennen.
Sie können Angriffe stoppen, indem Sie sie an jedem Punkt der Cyber Kill Chain unterbrechen. Indem Sie die Aufklärung durch Netzwerkhärtung unterbinden, bösartige E-Mail-Anhänge entfernen, Schwachstellen patchen, um Ausnutzung zu vermeiden, oder C2-Kommunikation abfangen, unterbrechen Sie Angriffe, bevor sie abgeschlossen sind. Für einen optimalen Schutz benötigen Sie mehrere Sicherheitsebenen, die auf verschiedene Phasen ausgerichtet sind.
Kritiker weisen darauf hin, dass die Cyber Kill Chain für moderne Angriffe zu strukturiert ist. Sie ist weniger effektiv bei der Bekämpfung von Insider-Bedrohungen, Web-Angriffen und Cloud-Umgebungen. Das Modell setzt eine lineare Vorgehensweise voraus, während tatsächliche Angriffe sprunghaft verlaufen. Sie sollten sich bewusst sein, dass es seit 2011 nicht mehr umfassend überarbeitet wurde und daher für neuere Bedrohungen wie Ransomware-as-a-Service weniger relevant ist.
Lockheed Martin hat die Cyber Kill Chain-Methodik 2011 als eine seiner Initiativen zur intelligenten Verteidigung entwickelt. Sie erinnern sich vielleicht, dass sie auf der militärischen Theorie der "Kill Chain"-Operationen basiert, jedoch an die Cybersicherheit angepasst wurde. Die Methodik wurde entwickelt, um Organisationen dabei zu helfen, Advanced Persistent Threats (APTs) besser zu verstehen und zu bekämpfen, indem Angriffe in spezifische, adressierbare Phasen unterteilt werden.
