Analisando a Cadeia de Extermínio Cibernético
Quando Usar
Use esta habilidade quando:
- Realizando análise pós-incidente para determinar até que ponto um adversário progrediu em uma sequência de ataque
- Projetando controles defensivos em camadas com o objetivo de interromper ataques na fase mais precoce possível
- Produzindo relatórios de inteligência de ameaças que comuniquem a progressão do ataque a partes interessadas não técnicas
Não use esta habilidade como uma estrutura independente — combine com o MITRE ATT&CK para granularidade no nível de técnicas além do que a cadeia de 7 fases fornece.
Pré-requisitos
- Linha do tempo completa do incidente com artefatos forenses mapeados para ações específicas do adversário
- Matriz MITRE ATT&CK Enterprise para mapeamento no nível de técnica dentro de cada fase da cadeia de extermínio
- Acesso à inteligência de ameaças sobre a progressão típica da cadeia de extermínio do grupo adversário suspeito
- Relatório pós-incidente ou linha do tempo de resposta a incidentes da equipe responsável
Fluxo de Trabalho
Passo 1: Mapear Ações Observadas para as Fases da Cadeia de Extermínio
A Cadeia de Extermínio Cibernético da Lockheed Martin consiste em sete fases. Mapeie todas as ações adversárias observadas:
Fase 1 - Reconhecimento: O adversário coleta informações sobre o alvo antes do ataque.
- Indicadores: Consultas DNS de IPs adversários, scraping do LinkedIn, análise de anúncios de emprego, varreduras Shodan da infraestrutura da organização
Fase 2 - Weaponização: O adversário cria a ferramenta de ataque (malware + exploit).
- Indicadores: Carimbos de data/hora de compilação de malware, metadados de documentos de exploit, artefatos de construtores em amostras de malware
Fase 3 - Entrega: O adversário transmite a arma ao alvo.
- Indicadores: E-mails de phishing, anexos maliciosos, downloads drive-by, pendrives USB, comprometimento da cadeia de suprimentos
Fase 4 - Exploração: O adversário explora uma vulnerabilidade para executar código.
- Indicadores: Eventos de exploração de CVE em logs de aplicação/SO, artefatos de corrupção de memória, execução de shellcode
Fase 5 - Instalação: O adversário estabelece persistência no alvo.
- Indicadores: Novas tarefas agendadas, chaves de execução no registro, instalação de serviços, web shells, bootkits
Fase 6 - Comando e Controle (C2): O adversário se comunica com o sistema comprometido.
- Indicadores: Tráfego beaconing (intervalos regulares), tunelamento DNS, HTTPS para domínios incomuns, assinaturas de frameworks C2 (Cobalt Strike, Sliver)
Fase 7 - Ações nos Objetivos: O adversário alcança seus objetivos.
- Indicadores: Preparação/exfiltração de dados, movimento lateral, execução de ransomware, atividade destrutiva
Passo 2: Identificar Pontos de Conclusão de Fase e Detecção
Crie uma matriz de fases para o incidente:
Fase 1: Reconhecimento → Concluída (não detectada)
Fase 2: Weaponização → Concluída (não detectada — pré-ataque)
Fase 3: Entrega → Concluída; e-mail de phishing contornou o SEG
Fase 4: Exploração → Concluída; CVE-2023-23397 explorado
Fase 5: Instalação → DETECTADO: EDR sinalizou criação de tarefa agendada (ataque parou aqui)
Fase 6: C2 → Não alcançado (instalação bloqueada)
Fase 7: Objetivos → Não alcançado
Para cada fase concluída sem detecção, documente a lacuna no controle defensivo.
Passo 3: Mapear para o MITRE ATT&CK para Detalhamento de Técnicas
Cada fase da cadeia de extermínio mapeia para múltiplas táticas do ATT&CK:
- Entrega → Acesso Inicial (TA0001)
- Exploração → Execução (TA0002)
- Instalação → Persistência (TA0003), Elevação de Privilégio (TA0004)
- C2 → Comando e Controle (TA0011)
- Ações nos Objetivos → Exfiltração (TA0010), Impacto (TA0040)
Dentro de cada fase, enumere técnicas específicas do ATT&CK observadas e mapeie para detecções existentes.
Passo 4: Identificar Cursos de Ação por Fase
Para cada fase, documente os cursos de ação defensivos (COAs) aplicáveis:
- Detectar COA: Qual detecção alertaria sobre a atividade do adversário nesta fase?
- Negar COA: Qual controle impediria o adversário de concluir esta fase?
- Interromper COA: Qual controle interromperia o adversário durante a fase?
- Degradar COA: Qual controle reduziria a eficácia do adversário nesta fase?
- Enganar COA: Qual engano (honeypots, tokens canário) exporia a atividade nesta fase?
- Destruir COA: Qual capacidade de defesa ativa neutralizaria a infraestrutura do adversário?
Passo 5: Produzir Relatório de Análise da Cadeia de Extermínio
Estruture os achados como:
- Narrativa do ataque (linha do tempo das fases)
- Análise fase por fase com evidências
- Análise dos pontos de detecção (o que funcionou, o que falhou)
- Recomendação defensiva por fase priorizada por custo/eficácia
- Roteiro de melhoria de controles
Conceitos-chave
| Termo | Definição |
|---|---|
| Cadeia de Extermínio | Modelo sequencial das fases de intrusão do adversário; quebrar qualquer elo teoricamente interrompe o ataque |
| Cursos de Ação (COA) | Respostas defensivas mapeadas para cada fase da cadeia de extermínio: detectar, negar, interromper, degradar, enganar, destruir |
| Beaconing | Padrão regular e periódico de check-in C2 de um host comprometido para o servidor adversário; detectável por análise de frequência |
| Conclusão de Fase | O adversário conclui com sucesso uma fase da cadeia de extermínio e progride para a próxima; a defesa em profundidade visa evitar isso |
| Ganho/Perda de Inteligência | Análise se detectar na Fase 5 (vs. Fase 3) reduziu a inteligência sobre as capacidades ou intenções do adversário |
Ferramentas e Sistemas
- MITRE ATT&CK Navigator: Sobreponha as fases da cadeia de extermínio com a cobertura de técnicas do ATT&CK para análise integrada
- Elastic Security EQL: Event Query Language para consultar sequências de ataque multifase no Elastic SIEM
- Splunk ES: Visualização de linha do tempo e pesquisas de correlação para sequenciamento de fases da cadeia de extermínio
- MISP: Marcação de cadeia de extermínio via galaxy clusters para documentação estruturada de eventos de incidentes
Armadilhas Comuns
- Suposição linear: Adversários nem sempre progridem linearmente — eles podem pular fases (weaponização já concluída de campanha anterior) ou voltar (restabelecer C2 após detecção).
- Ignorar as Fases 1 e 2: Reconhecimento e weaponização ocorrem antes que o defensor tenha visibilidade. A inteligência sobre essas fases requer fontes externas (OSINT, inteligência de ameaças).
- Perder ameaças internas: A cadeia de extermínio foi projetada para adversários externos. Ameaças internas podem pular diretamente para a Fase 7 sem percorrer as fases anteriores.
- Confundir com táticas do ATT&CK: A cadeia de 7 fases e as 14 táticas do ATT&CK são complementares, mas não diretamente equivalentes. Mantenha a distinção para evitar confusão analítica.