Cyber Kill Chain.

A Cyber Kill Chain, apresentada pelos analistas da Lockheed Martin Hutchins, Cloppert e Amin no seu artigo de 2011 Intelligence-Driven Computer Network Defense, divide uma intrusão em sete fases sequenciais: reconhecimento, weaponization, entrega, exploração, instalação, comando e controlo (C2) e ações sobre os objetivos. A sua premissa central é que um atacante tem de completar todos os elos, pelo que um defensor que detete, negue, interrompa, degrade, engane ou destrua a atividade em qualquer etapa quebra toda a campanha — as seis "linhas de ação" aplicadas a cada fase formam a matriz de ação do modelo.

O enquadramento nasceu da defesa da Lockheed contra ameaças persistentes avançadas e continua útil para estruturar telemetria, mapear controlos (filtragem de e-mail na entrega, EDR na instalação, inspeção de saída no C2) e comunicar cronologias de incidentes a partes interessadas não técnicas. As suas fraquezas estão bem documentadas: é centrado no perímetro e no malware, assume um fluxo linear e modela mal o abuso interno, os ataques cloud baseados apenas em credenciais e as intrusões living-off-the-land. As equipas combinam-no cada vez mais com o MITRE ATT&CK para granularidade ao nível da técnica, com o Diamond Model para análise do adversário e com a Unified Kill Chain de 18 fases de Paul Pols (2017), que funde o pensamento da kill chain com o ATT&CK para cobrir todo o ciclo de vida do ataque, incluindo o movimento lateral.

flowchart LR
  A[Reconhecimento] --> B[Weaponization]
  B --> C[Entrega]
  C --> D[Exploração]
  D --> E[Instalação]
  E --> F[Comando e Controlo]
  F --> G[Ações sobre os objetivos]
  G -. quebrar qualquer elo .-> H{{Campanha falha}}