Cyber Kill Chain.

Cyber Kill Chain, представленная аналитиками Lockheed Martin Хатчинсом, Клоппертом и Амином в их работе 2011 года Intelligence-Driven Computer Network Defense, разбивает вторжение на семь последовательных этапов: разведка, вооружение, доставка, эксплуатация, установка, командование и управление (C2) и действия на цели. Ключевая идея модели в том, что атакующий обязан пройти каждое звено, поэтому защитник, который на любом из этапов обнаруживает, отказывает, нарушает, ослабляет, обманывает или уничтожает активность, срывает всю кампанию — эти шесть «вариантов противодействия», применяемые к каждому этапу, образуют матрицу действий модели.

Фреймворк вырос из практики Lockheed по защите от продвинутых устойчивых угроз (APT) и остаётся полезным для структурирования телеметрии, сопоставления средств защиты (фильтрация почты на этапе доставки, EDR на этапе установки, контроль исходящего трафика на этапе C2) и описания хронологии инцидентов нетехническим заинтересованным сторонам. Её слабости хорошо задокументированы: она ориентирована на периметр и вредоносное ПО, предполагает линейное развитие и плохо моделирует инсайдерские злоупотребления, облачные атаки только на основе учётных данных и вторжения по принципу living-off-the-land. Команды всё чаще сочетают её с MITRE ATT&CK для детализации на уровне техник, с Diamond Model для анализа противника и с 18-этапной Unified Kill Chain Пола Полса (2017), которая объединяет логику kill chain с ATT&CK, охватывая полный жизненный цикл атаки, включая горизонтальное перемещение.

flowchart LR
  A[Разведка] --> B[Вооружение]
  B --> C[Доставка]
  C --> D[Эксплуатация]
  D --> E[Установка]
  E --> F[Командование и управление]
  F --> G[Действия на цели]
  G -. разрыв любого звена .-> H{{Кампания срывается}}