Analyse de la Cyber Kill Chain
Quand utiliser
Utilisez cette compétence lorsque :
- Vous effectuez une analyse post-incident pour déterminer jusqu'où un adversaire a progressé dans une séquence d'attaque
- Vous concevez des contrôles défensifs en couches dans le but d'interrompre les attaques à la phase la plus précoce possible
- Vous produisez des rapports de renseignement sur les menaces qui communiquent la progression de l'attaque à des parties prenantes non techniques
N'utilisez pas cette compétence comme un cadre autonome — combinez-la avec MITRE ATT&CK pour une granularité au niveau des techniques au-delà de ce que fournit la chaîne en 7 phases.
Prérequis
- Chronologie d'incident complète avec artefacts médico-légaux cartographiés sur des actions adverses spécifiques
- Matrice MITRE ATT&CK Enterprise pour la cartographie au niveau des techniques dans chaque phase de la chaîne
- Accès au renseignement sur les menaces concernant la progression typique de la chaîne du groupe adverse suspecté
- Rapport post-incident ou chronologie de réponse aux incidents de l'équipe d'intervention
Workflow
Étape 1 : Cartographier les actions observées sur les phases de la chaîne
La Cyber Kill Chain de Lockheed Martin se compose de sept phases. Cartographiez toutes les actions adverses observées :
Phase 1 - Reconnaissance : L'adversaire collecte des informations sur la cible avant l'attaque.
- Indicateurs : Requêtes DNS depuis l'IP adverse, scraping LinkedIn, analyse des offres d'emploi, scans Shodan de l'infrastructure de l'organisation
Phase 2 - Weaponization : L'adversaire crée un outil d'attaque (malware + exploit).
- Indicateurs : Horodatages de compilation du malware, métadonnées de documents d'exploit, artefacts de constructeur dans des échantillons de malware
Phase 3 - Delivery : L'adversaire transmet l'arme à la cible.
- Indicateurs : Emails de phishing, pièces jointes malveillantes, téléchargements drive-by, clés USB, compromission de la chaîne d'approvisionnement
Phase 4 - Exploitation : L'adversaire exploite une vulnérabilité pour exécuter du code.
- Indicateurs : Événements d'exploitation de CVE dans les journaux d'application/OS, artefacts de corruption mémoire, exécution de shellcode
Phase 5 - Installation : L'adversaire établit une persistance sur la cible.
- Indicateurs : Nouvelles tâches planifiées, clés de registre Run, installation de services, webshells, bootkits
Phase 6 - Command & Control (C2) : L'adversaire communique avec le système compromis.
- Indicateurs : Trafic de beaconing (intervalles réguliers), tunneling DNS, HTTPS vers des domaines peu courants, signatures de framework C2 (Cobalt Strike, Sliver)
Phase 7 - Actions sur Objectifs : L'adversaire atteint ses objectifs.
- Indicateurs : Préparation/exfiltration de données, mouvement latéral, exécution de ransomware, activité destructrice
Étape 2 : Identifier les points d'achèvement de phase et de détection
Créez une matrice de phases pour l'incident :
Phase 1 : Recon → Terminée (non détectée)
Phase 2 : Weaponize → Terminée (non détectée — pré-attaque)
Phase 3 : Delivery → Terminée ; l'email de phishing a contourné le SEG
Phase 4 : Exploit → Terminée ; CVE-2023-23397 exploité
Phase 5 : Install → DÉTECTÉE : L'EDR a signalé la création d'une tâche planifiée (attaque bloquée ici)
Phase 6 : C2 → Non atteinte (installation bloquée)
Phase 7 : Objectives → Non atteints
Pour chaque phase achevée sans détection, documentez la lacune de contrôle défensif.
Étape 3 : Cartographier vers MITRE ATT&CK pour le détail des techniques
Chaque phase de la chaîne correspond à plusieurs tactiques ATT&CK :
- Delivery → Accès Initial (TA0001)
- Exploitation → Exécution (TA0002)
- Installation → Persistance (TA0003), Élévation de Privilèges (TA0004)
- C2 → Commandement et Contrôle (TA0011)
- Actions sur Objectifs → Exfiltration (TA0010), Impact (TA0040)
Dans chaque phase, énumérez les techniques ATT&CK spécifiques observées et cartographiez-les avec les détections existantes.
Étape 4 : Identifier les cours d'action par phase
Pour chaque phase, documentez les cours d'action défensifs applicables (COA) :
- Détecter : Quelle détection alerterait sur l'activité adverse dans cette phase ?
- Refuser : Quel contrôle empêcherait l'adversaire de terminer cette phase ?
- Interrompre : Quel contrôle interromprait l'adversaire en milieu de phase ?
- Dégrader : Quel contrôle réduirait l'efficacité de l'adversaire dans cette phase ?
- Tromper : Quelle tromperie (honeypots, canary tokens) exposerait l'activité dans cette phase ?
- Détruire : Quelle capacité de défense active neutraliserait l'infrastructure adverse ?
Étape 5 : Produire un rapport d'analyse de la Kill Chain
Structurez les résultats comme suit :
- Récit de l'attaque (chronologie des phases)
- Analyse phase par phase avec preuves
- Analyse des points de détection (ce qui a fonctionné, ce qui a échoué)
- Recommandation défensive par phase priorisée par coût/efficacité
- Feuille de route d'amélioration des contrôles
Concepts clés
| Terme | Définition |
|---|---|
| Kill Chain | Modèle séquentiel des phases d'intrusion adverse ; rompre n'importe quel maillon arrête théoriquement l'attaque |
| Cours d'action (COA) | Réponses défensives cartographiées sur chaque phase de la chaîne : détecter, refuser, interrompre, dégrader, tromper, détruire |
| Beaconing | Schéma régulier et périodique de check-in C2 depuis l'hôte compromis vers le serveur adverse ; détectable par analyse de fréquence |
| Achèvement de phase | L'adversaire termine avec succès une phase de la chaîne et progresse vers la suivante ; la défense en profondeur vise à empêcher cela |
| Gain/Perte de renseignement | Analyse pour savoir si la détection à la Phase 5 (vs. Phase 3) a réduit le renseignement sur les capacités ou l'intention de l'adversaire |
Outils et systèmes
- MITRE ATT&CK Navigator : Superposer les phases de la chaîne avec la couverture des techniques ATT&CK pour une analyse intégrée
- Elastic Security EQL : Langage de requête événementiel pour interroger les séquences d'attaque multi-phases dans Elastic SIEM
- Splunk ES : Visualisation de la chronologie et recherches de corrélation pour le séquencement des phases de la chaîne
- MISP : Étiquetage de la chaîne via des clusters de galaxie pour une documentation structurée des événements d'incident
Pièges courants
- Hypothèse linéaire : Les adversaires ne progressent pas toujours de façon linéaire — ils peuvent sauter des phases (weaponization déjà terminée d'une campagne précédente) ou revenir en arrière (rétablir le C2 après détection).
- Ignorer les phases 1 et 2 : La reconnaissance et la weaponization se produisent avant que le défenseur ait une visibilité. Le renseignement sur ces phases nécessite des sources externes (OSINT, renseignement sur les menaces).
- Oublier les menaces internes : La chaîne a été conçue pour des adversaires externes. Les menaces internes peuvent sauter directement à la Phase 7 sans traverser les phases précédentes.
- Confusion avec les tactiques ATT&CK : La chaîne en 7 phases et les 14 tactiques ATT&CK sont complémentaires mais pas directement équivalentes. Maintenez la distinction pour éviter la confusion analytique.