Analyzing Cyber Kill Chain

Analyse der Cyber Kill Chain

Verwendungszweck

Verwenden Sie diese Fähigkeit bei:

• Post-Incident-Analysen, um festzustellen, wie weit ein Angreifer in einer Angriffssequenz fortgeschritten ist
• Der Planung gestaffelter Verteidigungsmaßnahmen mit dem Ziel, Angriffe so früh wie möglich zu unterbrechen
• Der Erstellung von Threat-Intelligence-Berichten, die den Angriffsverlauf für nicht-technische Stakeholder verständlich darstellen

Verwenden Sie diese Fähigkeit nicht als alleinstehendes Framework – kombinieren Sie sie mit MITRE ATT&CK für eine detailliertere Technikebene, die über die 7-Phasen-Kill-Chain hinausgeht.

Voraussetzungen

• Vollständige Incident-Zeitleiste mit forensischen Artefakten, die bestimmten Angreiferaktionen zugeordnet sind
• MITRE ATT&CK Enterprise Matrix für die Technikebene innerhalb jeder Kill-Chain-Phase
• Zugang zu Threat Intelligence über die typische Kill-Chain-Progression der vermuteten Angreifergruppe
• Post-Incident-Bericht oder IR-Zeitleiste des reagierenden Teams

Arbeitsablauf

Schritt 1: Beobachtete Aktionen den Kill-Chain-Phasen zuordnen

Die Lockheed Martin Cyber Kill Chain besteht aus sieben Phasen. Ordnen Sie alle beobachteten Angreiferaktionen zu:

Phase 1 – Reconnaissance: Der Angreifer sammelt Zielinformationen vor dem Angriff.

• Indikatoren: DNS-Abfragen von Angreifer-IPs, LinkedIn-Scraping, Stellenanzeigenanalyse, Shodan-Scans der Organisationsinfrastruktur

Phase 2 – Weaponization: Der Angreifer erstellt ein Angriffswerkzeug (Malware + Exploit).

• Indikatoren: Malware-Kompilierungszeitstempel, Metadaten von Exploit-Dokumenten, Builder-Artefakte in Malware-Beispielen

Phase 3 – Delivery: Der Angreifer überträgt das Werkzeug zum Ziel.

• Indikatoren: Phishing-E-Mails, bösartige Anhänge, Drive-by-Downloads, USB-Sticks, Kompromittierung der Lieferkette

Phase 4 – Exploitation: Der Angreifer nutzt eine Sicherheitslücke zur Codeausführung aus.

• Indikatoren: CVE-Ausnutzungsereignisse in Anwendungs-/Betriebssystemprotokollen, Speicherkorruptionsartefakte, Shellcode-Ausführung

Phase 5 – Installation: Der Angreifer richtet Persistenz auf dem Ziel ein.

• Indikatoren: Neue geplante Aufgaben, Registrierungs-Run-Keys, Dienstinstallationen, Web-Shells, Bootkits

Phase 6 – Command & Control (C2): Der Angreifer kommuniziert mit dem kompromittierten System.

• Indikatoren: Beaconing-Traffic (regelmäßige Intervalle), DNS-Tunneling, HTTPS zu ungewöhnlichen Domänen, C2-Framework-Signaturen (Cobalt Strike, Sliver)

Phase 7 – Actions on Objectives: Der Angreifer erreicht seine Ziele.

• Indikatoren: Daten-Staging/Exfiltration, laterale Bewegung, Ransomware-Ausführung, destruktive Aktivitäten

Schritt 2: Phasenabschluss und Erkennungspunkte identifizieren

Erstellen Sie eine Phasenmatrix für den Vorfall:

Phase 1: Recon        → Abgeschlossen (unerkannt)
Phase 2: Weaponize    → Abgeschlossen (unerkannt – Vorangriff)
Phase 3: Delivery     → Abgeschlossen; Phishing-E-Mail umging SEG
Phase 4: Exploit      → Abgeschlossen; CVE-2023-23397 ausgenutzt
Phase 5: Install      → ERKANNT: EDR meldete Erstellung einer geplanten Aufgabe (Angriff hier gestoppt)
Phase 6: C2           → Nicht erreicht (Installation blockiert)
Phase 7: Objectives   → Nicht erreicht

Dokumentieren Sie für jede abgeschlossene, aber unerkannte Phase die Lücke in der Verteidigungskontrolle.

Schritt 3: Für Technikdetails mit MITRE ATT&CK verknüpfen

Jede Kill-Chain-Phase ist mehreren ATT&CK-Taktiken zugeordnet:

• Delivery → Initial Access (TA0001)
• Exploitation → Execution (TA0002)
• Installation → Persistence (TA0003), Privilege Escalation (TA0004)
• C2 → Command and Control (TA0011)
• Actions on Objectives → Exfiltration (TA0010), Impact (TA0040)

Listen Sie innerhalb jeder Phase die beobachteten spezifischen ATT&CK-Techniken auf und ordnen Sie sie vorhandenen Erkennungen zu.

Schritt 4: Handlungsoptionen pro Phase identifizieren

Dokumentieren Sie für jede Phase die anwendbaren defensiven Handlungsoptionen (COAs):

• Erkennen COA: Welche Erkennung würde auf Angreiferaktivitäten in dieser Phase aufmerksam machen?
• Verweigern COA: Welche Kontrolle würde den Angreifer daran hindern, diese Phase abzuschließen?
• Unterbrechen COA: Welche Kontrolle würde den Angreifer mitten in der Phase unterbrechen?
• Verschlechtern COA: Welche Kontrolle würde die Effektivität des Angreifers in dieser Phase verringern?
• Täuschen COA: Welche Täuschung (Honeypots, Canary Tokens) würde Aktivitäten in dieser Phase aufdecken?
• Zerstören COA: Welche aktive Verteidigungsfähigkeit würde die Infrastruktur des Angreifers neutralisieren?

Schritt 5: Kill-Chain-Analysebericht erstellen

Strukturieren Sie die Ergebnisse wie folgt:

1. Angriffsnarrativ (Zeitleiste der Phasen)
2. Phasenweise Analyse mit Beweisen
3. Erkennungspunktanalyse (was funktionierte, was versagte)
4. Verteidigungsempfehlung pro Phase, priorisiert nach Kosten/Nutzen
5. Plan zur Verbesserung der Kontrollen

Schlüsselkonzepte

Begriff	Definition
Kill Chain	Sequenzielles Modell der Eindringungsphasen eines Angreifers; das Unterbrechen eines einzelnen Glieds stoppt theoretisch den Angriff
Handlungsoptionen (COA)	Auf jede Kill-Chain-Phase abgestimmte defensive Reaktionen: erkennen, verweigern, unterbrechen, verschlechtern, täuschen, zerstören
Beaconing	Regelmäßiges, periodisches C2-Check-in-Muster von einem kompromittierten Host zum Angreiferserver; durch Frequenzanalyse erkennbar
Phasenabschluss	Der Angreifer schließt eine Kill-Chain-Phase erfolgreich ab und schreitet zur nächsten fort; Defense-in-Depth zielt darauf ab, dies zu verhindern
Intelligence-Gewinn/-Verlust	Analyse, ob die Erkennung in Phase 5 (statt Phase 3) die Informationen über die Fähigkeiten oder Absichten des Angreifers reduziert hat

Werkzeuge & Systeme

• MITRE ATT&CK Navigator: Überlagerung von Kill-Chain-Phasen mit ATT&CK-Technikabdeckung für integrierte Analysen
• Elastic Security EQL: Ereignisabfragesprache für die Abfrage mehrphasiger Angriffssequenzen im Elastic SIEM
• Splunk ES: Zeitleistenvisualisierung und Korrelationssuchen für die Sequenzierung von Kill-Chain-Phasen
• MISP: Kill-Chain-Tagging über Galaxy-Cluster für die strukturierte Dokumentation von Incident-Ereignissen

Häufige Fallstricke

• Lineare Annahme: Angreifer schreiten nicht immer linear vor – sie können Phasen überspringen (Weaponization bereits aus vorheriger Kampagne abgeschlossen) oder zurückkehren (C2 nach Erkennung wiederherstellen).
• Ignorieren der Phasen 1 und 2: Reconnaissance und Weaponization finden statt, bevor der Verteidiger Sichtbarkeit hat. Informationen über diese Phasen erfordern externe Quellen (OSINT, Threat Intelligence).
• Fehlende Insider-Bedrohungen: Die Kill Chain wurde für externe Angreifer entwickelt. Insider-Bedrohungen können direkt zu Phase 7 springen, ohne die früheren Phasen zu durchlaufen.
• Verwechslung mit ATT&CK-Taktiken: Die 7-Phasen-Kill-Chain und die 14 ATT&CK-Taktiken sind komplementär, aber nicht direkt äquivalent. Halten Sie die Unterscheidung aufrecht, um analytische Verwirrung zu vermeiden.