Eric M. Hutchins, Michael J. Cloppert, Rohan M. Amin (Lockheed Martin)

1 fișă

1. 01

   O intruziune nu e un eveniment, ci o progresie în șapte faze; e un «lanț» pentru că orice verigă ruptă oprește tot — deci apărătorul care recunoaște tiparul unei campanii poate să o oprească devreme, cu intelligence, nu doar să curețe după ea.

   Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains · 2011

   Șapte faze, un lanț: rupe-l cât mai sus, cu indicatorii pe care campania îi refolosește.

   Lucrarea din 2011 a împrumutat din doctrina militară de țintire ideea de lanț — găsește, fixează, urmărește, țintește, angajează, evaluează — și a rescris-o pentru intruziuni: recunoaștere (cercetarea țintelor: site-uri, liste de e-mail, tehnologii), înarmare (construirea sarcinii utile într-un document sau fișier), livrare (e-mail, site, USB), exploatare (codul rulează), instalare (persistența), comandă și control (canalul spre exterior) și acțiuni asupra obiectivelor (exfiltrare, mișcare laterală). Esența, spun autorii, e că intrusul «trebuie să dezvolte o sarcină utilă ca să spargă o graniță de încredere, să-și stabilească o prezență și abia de acolo să acționeze» — iar un singur eșec pe drum întrerupe întreg procesul. Schimbarea de paradigmă e pentru apărare. Până atunci, apărarea era reactivă: detectezi codul, îl ștergi. Lanțul spune că fiecare fază lasă indicatori (un expeditor, un hash, un domeniu, o tehnică de persistență) și că indicatorii unei campanii se repetă de la o intruziune la alta, fiindcă adversarul își refolosește infrastructura și uneltele. Cine cartografiază campaniile — nu incidentele — poate «muta detecția în sus pe lanț» și bloca livrarea sau exploatarea înainte de instalare. Limitele, rostite și de critici: modelul e liniar și centrat pe malware; un atac cu credențiale furate sau un abuz din interior nu are «înarmare»; fazele post-compromis sunt comprimate într-una singură, motiv pentru care MITRE ATT&CK (lecția 31) a detaliat exact acea parte. Rămâne totuși cadrul în care se pune întrebarea corectă: nu «ce a fost acest fișier», ci «în ce fază a cărei campanii ne aflăm».

   “Lanțul de atac al intruziunii este definit ca recunoaștere, înarmare, livrare, exploatare, instalare, comandă și control (C2) și acțiuni asupra obiectivelor.”

   Deschide fișa →