Cyber Kill Chain 模型解析及其運作方式？

就像每個安全解決方案都有一套框架來篩除惡意程序一樣，每個攻擊者也都有一套方法來滲透基礎架構或繞過周邊防禦。cyber kill chain 是一個旨在於複雜攻擊升級或對組織造成影響之前加以識別並阻止的概念。它涵蓋這些攻擊的多個階段，並展現威脅的關聯性。cyber kill chain 可用於改善事件管理與回應模型。

當它們被正確理解與實施時，便具有安全效益。安全團隊可以找出自身的不足之處，並提出有助於業務的後續問題。它也能為組織的網路安全策略提供資訊並強化防禦。本指南將說明什麼是 cyber kill chain、重點介紹常見的 cyber kill chain 步驟，並進一步討論此框架。如果您對 cyber kill chain 感到好奇，那麼這篇文章會是很好的起點。

什麼是 Cyber Kill Chain？

Cyber Kill Chain 是由 Lockheed Martin 首先建立的情報驅動防禦模型。其目的是協助安全團隊拆解網路攻擊、理解攻擊，並將其劃分為不同階段。這是一種 cyber kill chain 模型，用於描繪攻擊者在成功突破防禦之前所經歷的各個階段。

Cyber kill chain 階段概述了進階持續性威脅 (APTs) 持續的時間，並展示事件序列。它們涵蓋從初始偵察到達成攻擊者目標的所有階段。

Cyber Kill Chain 與 MITRE ATT&CK 的比較

cyber kill chain 可提供對對手行為與戰術的詳細視角。它常用於紅隊演練、鑑識分析與事件回應。MITRE ATT&CK framework旨在提供更深入的洞察，並針對各種威脅提供更高的適應性。cyber kill chain 用於建立穩固基礎並制定主動式防禦策略。對於使用入侵偵測系統、防火牆與現代安全解決方案組合的組織而言，它們非常有效。

當企業希望更深入了解攻擊者如何在雲端及端點環境中運作時，MITRE ATT&CK 框架就能帶來助益。  網路攻擊殺傷鏈協定可即時阻止攻擊，並作為強化安全營運的寶貴工具。MITRE ATT&CK 更加細緻、靈活，並可對應真實世界中的攻擊技術、技術與程序（TTPs）。MITRE ATT&CK 也可用於回應攻擊任何階段的威脅，不論其發生於攻擊週期中的何處。

與 Cyber Kill Chain 相關的疑慮

網路攻擊鏈模型不適合用於偵測多向量攻擊，因為它採用線性方法。它只能描繪採取可預測路徑的威脅。若任何攻擊超出該序列，網路攻擊鏈流程就可能迅速失效。網路攻擊鏈也未將內部威脅與基於 Web 的攻擊納入考量。它是一種靜態的威脅偵測模型，僅專注於外部威脅。由於它依賴邊界安全與惡意軟體偵測，因此不適用於以雲端為基礎的安全環境。

雖然 Cyber Kill Chain 於 2011 年提出，但該框架尚未更新以適應不斷變化的網路威脅特性。它對於 ransomware-as-a-service (RaaS) 等級的威脅並不是特別有效，且偵測設定檔有限。Cyber Kill Chain 缺乏彈性，無法處理複雜的攻擊情境。它也缺少需要從多個來源進行分析的威脅情報。它甚至可能漏掉較不複雜的攻擊，例如「spray and pray」戰術或不遵循常規模式的威脅。

Cyber Kill Chain 如何運作？

Cyber Kill Chain 會將一次攻擊拆解為數個步驟與階段。它採用結構化方法來辨識對手如何移動，並說明如何在每個階段加以干擾。它不會將攻擊視為單一事件。

它會持續在攻擊週期中盡可能及早尋找並反制攻擊者的行動。如果組織未能實施其措施，長期下來可能面臨嚴重後果。本質上，Cyber Kill Chain 是組織可遵循以維持防護並抵禦最新網路威脅的路線圖或藍圖。
threat-intelligence-ops-report1-purple

Cyber Kill Chain 的 7 個階段

cyber kill chain 共分為七個階段，如下所示：

1. 偵察

偵察是 Cyber Kill Chain 模型的第一個階段。它可提供有關潛在目標的洞察並對其進行研究。您也會了解其弱點，並找出這些目標可能連結到哪些第三方。您還會探索其他潛在進入點、發現新的進入點，而偵察也可能在線上與離線環境中進行。

2. 武器化

網路武器與 killchain 工具將被用來攻擊並滲透目標的網路。這些工具可能包括惡意軟體、勒索軟體變種、酬載以及其他惡意變體。

3. 傳遞

對手會嘗試接觸使用者，並發送各種包含惡意連結的網路釣魚手法。 這些電子郵件的主旨列會試圖誘使或促使受害者採取行動。 在成功傳遞後，對手便可入侵組織的網路，並進一步利用硬體與軟體弱點。

4. 利用

攻擊者會嘗試更深入滲透網路，並利用他們在先前步驟中發現與利用的弱點。 他們會試圖推進其目標，並嘗試在網路間橫向移動以接觸更大的目標。如果任何目標負責管理該網路卻尚未部署必要的安全措施，那麼攻擊者就會鎖定他們。

5. 安裝

安裝階段涉及嘗試在目標網路上安裝惡意軟體及其他勒索軟體變種。攻擊者會試圖控制您的系統並竊取敏感資料。他們也可能安裝其他網路武器、木馬程式、後門以及命令列介面。

6. 命令與控制 (C2)

在 cyberkill chain 的命令與控制階段中，攻擊者會嘗試與他們剛植入您網路中的惡意軟體進行通訊。他們會指示這些工具遠端執行特定任務。攻擊者會利用通訊通道來控制已感染其惡意軟體與殭屍網路的電腦。 他們可能嘗試以流量癱瘓網站，或指示 C2 伺服器執行其任務。

7. 目標行動

這是最後一個階段，攻擊者會嘗試執行其目標並成功達成。其目標可能因其發動的網路攻擊類型而異。有些攻擊者會試圖中斷您的服務、使其停擺，或讓組織完全轉為線上運作。 他們可能散布惡意軟體以竊取敏感資料、發動阻斷服務攻擊，或使用勒索軟體作為勒索組織的手段。

Cyber Kill Chain 的限制

以下是 cyber kill chain 的一些缺點與限制：

• cyber killchain 階段最大的弱點之一，是它們無法偵測內部威脅。 使用未經授權方所取得之遭入侵憑證的攻擊也無法被偵測。 以 Web 為基礎的攻擊也不會被 cyber killchain framework 注意到。 其中一些例子包括 SQL injections、DOS 和 DDOS attacks、cross-site scripting，以及 zero-day exploits。

• cyber killchain 模型也可能漏掉不太複雜的攻擊。 這些可能包括不涉及大量研究且缺乏複雜性的攻擊。
• cyber killchain framework 可能會漏掉基本變體，尤其是 spray-and-pray 攻擊戰術，這些戰術可能純粹因偶然而巧妙避開最佳規劃的偵測機制。

Cyber Kill Chain 實際應用的真實案例

以下是一些網路攻擊殺傷鏈在實際運作中的真實案例：

Target 資料外洩事件 (2013)

攻擊者首先透過發現 Target 第三方 HVAC 供應商 Fazio Mechanical 的漏洞展開偵察。在將網路釣魚電子郵件武器化後，他們將酬載傳送給 Fazio 員工，並使用合法的供應商憑證滲透 Target 的網路。接著將記憶體擷取型惡意軟體載入銷售點機器，並透過命令與控制通訊竊取了 7,000 萬筆客戶紀錄和 4,000 萬個信用卡號碼。

Sony Pictures Entertainment 遭駭事件 (2014)

在將清除型惡意軟體與後門武器化之前，攻擊者對 Sony 的基礎架構進行了廣泛偵察。魚叉式網路釣魚訊息夾帶惡意軟體工具，並利用遭竊的管理員憑證在整個網路中散布惡意酬載。命令與控制通道持續了數月，導致資料遭破壞、電影遭竊，以及為阻止《The Interview》上映而提出的勒索要求。

SolarWinds 供應鏈入侵事件 (2020)

威脅行為者利用 SolarWinds 更新流程進行間諜活動，透過 SUNBURST 後門將合法更新作為武器。惡意軟體透過遭劫持的建置散布至 18,000 名使用者，並使用靜默更新向量傳遞酬載；命令與控制通訊則利用網域產生演算法來規避偵測，以便存取包含敏感資訊的商業與政府網路。

Colonial Pipeline 勒索軟體攻擊 (2021)

DarkSide 勒索軟體攻擊者在偵察階段利用 Colonial Pipeline 的 VPN 漏洞，並採用專為營運技術環境量身打造的酬載。遭竊憑證提供了初始存取，並利用密碼重複使用及缺乏多重要素驗證的弱點。勒索軟體的安裝中斷了管線營運，而命令與控制通道則持續監控加密狀態，直到支付 440 萬美元贖金為止。

透過網路攻擊殺傷鏈與 SentinelOne 提升安全性

SentinelOne 的 AI 威脅偵測平台可套用 Cyber Kill Chain 模型並將其付諸實行。您可以使用 SentinelOne 的網路監控功能偵測偵察作業。SentinelOne 的 Offensive Security Engine 能夠領先對手多個步驟，並可在威脅發生前偵測到威脅，甚至進行預測。在傳遞與武器化階段，SentinelOne 的行為式 AI 引擎會在惡意 URL 和檔案於端點上執行之前加以識別。您將擁有免簽章的即時偵測能力，以識別新的威脅。

一旦攻擊者進入利用階段，SentinelOne 的 ActiveEDR 技術會監控系統活動，以識別並封鎖惡意活動。當可疑活動發生時，您應實作 SentinelOne 的自動化回應功能，立即隔離受影響的端點。對於安裝階段，SentinelOne 提供回復功能，可還原惡意變更。您可以透過 SentinelOne 的統一管理主控台，全面掌握所有系統活動的可視性。SentinelOne 能夠描繪整個雲端環境中的資產、資源、帳戶及其他事件。

當攻擊者進行命令與控制通訊時，SentinelOne 會偵測並封鎖對惡意伺服器的對外連線。SentinelOne 可封鎖跨網路的橫向移動並防止權限提升。它可以隔離威脅並對抗勒索軟體、惡意軟體、影子 IT、零時差漏洞、社交工程等更多威脅。您也可以使用 SentinelOne 安全地備份敏感資料，並確保強大的資料安全性。SentinelOne 的鑑識工具可進行詳細的事件後調查，協助您了解攻擊模式並強化對未來攻擊嘗試的防禦。

預約免費即時示範。

結論

了解 Cyber Kill Chain 可讓資安團隊在任何階段中斷攻擊，將對不斷演變威脅的防護效果最大化。您可以將安全控制對應到每個階段，將此框架轉化為可執行的防禦策略。SentinelOne 透過其自主平台，將這個理論模型轉化為實務防護，在攻擊的所有階段提供可視性與回應能力。若您需要針對複雜威脅的全面防護，SentinelOne 可提供現代防禦所需的工具。

立即部署 SentinelOne。即刻阻止攻擊。