Definition Cyber Kill Chain Was ist die Cyber Kill Chain?

Anbieter zum Thema

FAST LTA GmbH

Die Cyber Kill Chain ist ein von Lockheed Martin entwickeltes Cybersicherheitsmodell. Es unterteilt Cyberangriffe in sieben Phasen, die ein immer tieferes Vordringen beschreiben. Für die einzelnen Phasen lassen sich Maßnahmen definieren, um die Angriffskette zu durchbrechen und gegen die Bedrohung vorzugehen.

Die Cyber Kill Chain ist ein Cybersicherheitsmodell, das seinen Ursprung im militärischen Bereich hat. Es wurde vom US-amerikanischen Rüstungs- und Technologieunternehmen Lockheed Martin im Jahr 2011 entwickelt. Lockheed Martin übertrug das Kill-Chain-Modell aus dem militärischen Bereich auf den IT-Bereich und die Cybersicherheit. Manchmal wird die Cyber Kill Chain auch als Intrusion Kill Chain oder Cyber Security Kill Chain bezeichnet. Das Modell kann zur Verbesserung der Cybersicherheit von Unternehmen und anderen Organisationen oder Institutionen eingesetzt werden.

Was ist die Lockheed Martin Cyber Kill Chain?

Cyber Kill Chain - Grundlagen, Anwendung und Entwicklung

Die Cyber Kill Chain unterteilt typische Cyberangriffe in verschiedene Phasen, die das immer tiefere Vordringen eines Angreifers in ein System oder in eine Infrastruktur beschreiben. Für einen erfolgreichen Angriff durchlaufen die Cyberkriminellen die komplette Angriffskette. Mithilfe des Modells lassen sich Cyberangriffe und das Vorgehen der Angreifer besser verstehen. Für die verschiedenen Phasen können Maßnahmen definiert und ergriffen werden, um die Angriffskette zu durchbrechen und gegen die Bedrohung vorzugehen. Es handelt sich somit um einen schrittweisen Ansatz zum Erkennen, Abwehren und Stoppen eines Cyberangriffs.

Häufig wird als Kritikpunkt an der Cyber Kill Chain aufgeführt, dass das Modell zu stark auf Malware ausgerichtet ist. Andere Bedrohungsarten wie Insider-Bedrohungen oder die Cloud-Sicherheit berücksichtigt das Modell nur am Rande.

Die Grundidee des Cyber-Kill-Chain-Modells

Wie bereits erwähnt, hat das Cyber-Kill-Chain-Modell seinen Ursprung im militärischen Bereich. Es überträgt das Konzept eines militärischen Angriffs auf den IT-Bereich und die Cybersicherheit. Die typischen Handlungen eines Angreifers werden vom Modell beschrieben. Daraus ergeben sich die entsprechenden Handlungsoptionen des Angegriffenen. Angreifer sind im Fall der Cyber Kill Chain Cyberkriminelle und die Angegriffenen sind Unternehmen oder andere Organisationen und Institutionen. Die verschiedenen Phasen der Cyber Kill Chain bilden den Ablauf eines vollständigen Angriffs ab. Für einen erfolgreichen Angriff und das Erreichen des eigentlichen Angriffsziels muss der Angreifer alle Phasen der Angriffskette durchlaufen. Die Abwehrmaßnahmen orientieren sich ebenfalls an den einzelnen Phasen der Angriffskette. In den verschiedenen Phasen können die Angegriffenen entsprechende Abwehrmaßnahmen ergreifen, um die Angriffskette zu durchbrechen.

Sicherheitsstrategien für die Cloud

Die Cyber Kill Chain in der Cloud

Die sieben Phasen eines Angriffs in der Cyber Kill Chain

Die in der Cyber Kill Chain beschriebenen sieben Phasen eines Angriffs sind:

• 1. Reconnaissance (Aufklärung): Identifizierung des Ziels

• 2. Weaponization (Bewaffnung): Vorbereitung des Angriffs

• 3. Delivery (Ausführung): Ausführung des Angriffs

• 4. Exploitation (Ausnutzung): Aufspüren und Ausnutzen von Sicherheitslücken

• 5. Installation (Installation): Installation von Malware

• 6. Command and Control (C&C) (Fernsteuerung): Übernahme der Kontrolle

• 7. Actions on Objectives (Aktionen auf Angriffsziele): Ausführen der Zielangriffshandlungen

Im Folgenden kurze Beschreibungen der einzelnen Phasen eines Angriffs und der jeweiligen Verteidigungsmaßnahmen:

1. Phase: Reconnaissance

Die Aufklärungsphase ist gekennzeichnet vom Identifizieren des Angriffsziels und Sammeln von Informationen über das Angriffsziel. Diese Informationen sind für die weitere Phasen des Angriffs nützlich. Mit den gesammelten Informationen lässt sich ein Profil des Opfers anlegen. Beschafft werden die Informationen beispielsweise über Suchmaschinen, soziale Netzwerke, Web-Archive, Netzwerkscans und anderes. Als Verteidigungsstrategien eignen sich ein verantwortungsvoller Umgang mit sensiblen Daten wie Kontaktdaten und die Beschränkung der öffentlichen Bereitstellung von für Angriffe ausnutzbaren Informationen.

2. Phase: Weaponization

In dieser Phase bereitet der Cyberkriminelle den Angriff vor. Er wählt gemäß dem Ziel und dem Profil seines Opfers geeignete Angriffsvektoren und Tools wie Malware aus. Angriffsvektoren sind zum Beispiel Phishing, Social Engineering, Denial-of-Service-Angriffe, Man-in-the-Middle-Angriffe, Fernzugriffsdienste und anderes. Eine mögliche Verteidigungsstrategie gegenüber Weaponization ist die Sensibilisierung gegenüber den gebräuchlichen Angriffsvektoren, das Implementieren geeigneter Abwehrmaßnahmen und die Umsetzung des Zero-Trust-Prinzips.

3. Phase: Delivery

In dieser Phase beginnt der Angreifer mit der eigentlichen Durchführung seines Angriffs. Er wählt einen geeigneten Kommunikationskanal (zum Beispiel E-Mails) oder Datenträger (zum Beispiel USB-Sticks) für den Angriff aus, über den er Schadprogramme wie Spyware oder Ransomware an das Opfer ausliefern kann. Geeignete Verteidigungsstrategien sind die Installation von Sicherheitslösungen wie Anti-Malware-Software, E-Mail- und Netzwerk-Scanning und anderes.

4. Phase: Exploitation

In der Exploitation-Phase durchsucht der Angreifer das Zielsystem oder Zielnetzwerk systematisch nach Sicherheitslücken. Gefundene Schwachstellen werden ausgenutzt, um beispielsweise Aktivitäten zu verschleiern oder zu verhindern, dass Schadsoftware erkannt wird. Sinnvolle Verteidigungsstrategien sind die kontinuierliche Überwachung der Systeme auf Schwachstellen, regelmäßiges Aktualisieren der Software und das zeitnahe Einspielen von Sicherheitspatches.

5. Phase: Installation

In dieser Phase installiert der Angreifer vom Opfer unbemerkt Malware oder ein Backdoor auf dem Zielsystem. Über diese Software kann eine weitere Unterwanderung der Systeme oder des Netzwerks erfolgen. Angreifer können sich dann unbemerkt auf den Zielsystemen bewegen. Mögliche Verteidigungsstrategien sind die konsequente Einhaltung des Zero-Trust-Prinzips und Netzwerk- oder Systemscans nach verdächtigen Aktivitäten und Anomalien.

6. Phase: Command and Control (C&C)

In der C&C-Phase kann ein Angreifer die vollständige Kontrolle über ein System erlangen. Das Zielsystem ist so weit kompromittiert, dass es sich aus der Ferne steuern lässt, um beispielsweise weitere Schadsoftware einzuschleusen oder unbefugte Aktivitäten zu starten. Auch hier eignen sich zum Beispiel Netzwerk- und Systemscans nach verdächtigen Aktivitäten oder Anomalien und Firewalling als Verteidigungsstrategien.

7. Phase: Actions on Objectives

In der letzten Phase eines Angriffs führt der Angreifer seine eigentliche Zielhandlung aus. Er spioniert Daten aus, entwendet, verschlüsselt oder kompromittiert Daten oder erpresst das Opfer. In dieser Phase entsteht der maximale Schaden. Eine Verteidigungsmaßnahme ist es, Handlungsstrategien und konkrete Abläufe festzulegen, wie auf Aktionen eines Angreifers, zum Beispiel Verschlüsselung von Daten und Erpressungsversuche, zu reagieren ist, welche Systeme gegebenenfalls abzuschalten sind und wie zu einem nicht kompromittierten System zurückgekehrt werden kann.

Grundsätzlich lässt sich zu den Verteidigungsstrategien der einzelnen Phasen festhalten, dass je früher ein Angriff erkannt und gestoppt werden kann, desto geringer sind die möglichen Schäden und Auswirkungen für das angegriffene Unternehmen. Während in einer frühen Phase sich Angriffe noch gänzlich stoppen lassen, ist es in der letzten Phase nur noch möglich, das Schadensmaß durch kluges Handeln einzudämmen.

(ID:50065884)