Cyber Kill Chain.

La Cyber Kill Chain, présentée par les analystes de Lockheed Martin Hutchins, Cloppert et Amin dans leur article de 2011 Intelligence-Driven Computer Network Defense, découpe une intrusion en sept phases successives : reconnaissance, weaponization, livraison, exploitation, installation, command and control (C2) et actions sur objectif. Son postulat central est qu'un attaquant doit franchir chaque maillon : un défenseur qui détecte, refuse, perturbe, dégrade, trompe ou détruit l'activité à n'importe quelle étape fait échouer l'ensemble de la campagne — les six « courses of action » appliquées à chaque phase forment la matrice d'action du modèle.

Le cadre est né de la défense de Lockheed contre les menaces persistantes avancées et reste utile pour structurer la télémétrie, cartographier les contrôles (filtrage de la messagerie à la livraison, EDR à l'installation, inspection du trafic sortant au C2) et communiquer la chronologie d'un incident à des interlocuteurs non techniques. Ses faiblesses sont bien documentées : il est centré sur le périmètre et le malware, suppose un déroulement linéaire, et modélise mal les abus d'initiés, les attaques cloud reposant uniquement sur des identifiants et les intrusions living-off-the-land. Les équipes le combinent de plus en plus avec MITRE ATT&CK pour la granularité au niveau des techniques, le Diamond Model pour l'analyse de l'adversaire, et l'Unified Kill Chain en 18 phases de Paul Pols (2017), qui fusionne la logique de kill chain avec ATT&CK pour couvrir l'ensemble du cycle de vie de l'attaque, y compris les déplacements latéraux.

flowchart LR
  A[Reconnaissance] --> B[Weaponization]
  B --> C[Livraison]
  C --> D[Exploitation]
  D --> E[Installation]
  E --> F[Command & Control]
  F --> G[Actions sur objectif]
  G -. rompre un maillon .-> H{{Campagne échoue}}