サイバーキルチェーン.

サイバーキルチェーン(Cyber Kill Chain)は、ロッキード・マーティン社のアナリストである Hutchins、Cloppert、Amin が 2011 年の論文 Intelligence-Driven Computer Network Defense で提唱したモデルで、侵入を「偵察」「武器化」「配送」「エクスプロイト」「インストール」「コマンド&コントロール(C2)」「目的の実行」という 7 つの連続した段階に分解します。その中核となる前提は、攻撃者がすべてのリンクをやり遂げなければならないという点にあります。したがって、防御側がいずれか 1 つの段階で活動を検知・拒否・妨害・劣化・欺瞞・破壊できれば、攻撃キャンペーン全体を断ち切れます。各段階に適用されるこの 6 つの「対応策」が、モデルのアクションマトリクスを構成します。

このフレームワークは、ロッキード社が高度な持続的脅威(APT)を防御する中で生まれ、テレメトリの構造化、統制のマッピング(配送段階でのメールフィルタリング、インストール段階での EDR、C2 段階での送信検査)、非技術者のステークホルダーへのインシデントタイムラインの共有に、今も有用です。一方でその弱点もよく知られています。境界とマルウェアに偏重し、直線的な流れを前提とするため、内部不正、認証情報のみを用いたクラウド攻撃、環境寄生型(living-off-the-land)の侵入はうまくモデル化できません。近年ではチームは、テクニックレベルの粒度を得るために MITRE ATT&CK と、敵対者分析のために Diamond Model と、さらに Paul Pols による 18 段階の Unified Kill Chain(2017 年)と組み合わせて使う傾向が強まっています。Unified Kill Chain はキルチェーンの考え方と ATT&CK を統合し、横展開を含む攻撃ライフサイクル全体をカバーします。

flowchart LR
  A[偵察] --> B[武器化]
  B --> C[配送]
  C --> D[エクスプロイト]
  D --> E[インストール]
  E --> F[コマンドとコントロール]
  F --> G[目的の実行]
  G -. いずれかのリンクを断つ .-> H{{キャンペーン失敗}}