網絡攻擊鏈
![](http://images.weserv.nl/?url=//upload.wikimedia.org/wikipedia/commons/thumb/1/1d/Intrusion_Kill_Chain_-_v2.png/350px-Intrusion_Kill_Chain_-_v2.png)
網絡攻擊鏈是指攻擊者實施網絡攻擊的過程。[2] 洛歇·馬丁公司將「殺傷鏈」的概念從軍事領域應用於信息安全領域,將其作為一種對計算機網絡入侵進行建模的方法。[3] 網絡攻擊鏈模型在信息安全界得到了一些應用。[4] 然而,它並沒有被普遍接受,批評者指出了他們認為該模型存在的根本缺陷。[5]
攻擊階段與對策
2011年,洛歇·馬丁公司的計算機科學家描述了一種新的「入侵攻擊鏈」框架或模型,用於防禦計算機網絡。[6] 他們寫道,攻擊可能分階段發生,並且可以通過在每個階段建立的控制措施來阻止。從那時起,數據安全組織就採用了「網絡攻擊鏈」來定義網絡攻擊的各個階段。[7]
網絡攻擊鏈揭示了網絡攻擊的各個階段:從早期的偵察到數據竊取的目標。[8] 攻擊鏈還可以用作管理工具,幫助持續改進網絡防禦。根據洛歇·馬丁公司的說法,威脅必須經過該模型中的幾個階段,包括:
- 偵察:入侵者選擇目標,對其進行研究,並試圖識別目標網絡中的漏洞。
- 武器化:入侵者創建針對一個或多個漏洞量身定製的遠程訪問惡意軟件武器,例如病毒或蠕蟲。
- 傳遞:入侵者將武器傳輸到目標(例如,通過電子郵件附件、網站或U盤)。
- 利用:惡意軟件武器的程序代碼觸發,對目標網絡採取行動以利用漏洞。
- 安裝:惡意軟件武器安裝一個入侵者可以使用的訪問點(例如「後門」)。
- 命令與控制:惡意軟件使入侵者能夠對目標網絡進行「鍵盤操作」的持續訪問。
- 目標行動:入侵者採取行動實現其目標,例如數據竊取、數據破壞或加密以進行勒索。
可以針對這些階段採取防禦性行動:[9]
- 檢測:確定入侵者是否存在。
- 拒絕:防止信息泄露和未經授權的訪問。
- 中斷:停止或更改出站流量(到攻擊者)。
- 降級:反擊命令和控制。
- 欺騙:干擾命令和控制。
- 遏制:網段更改。
美國參議院對2013年塔吉特公司數據泄露事件的調查包括基於洛歇·馬丁攻擊鏈框架的分析。它確定了控制措施未能阻止或檢測到攻擊進展的幾個階段。[1]
替代方案
不同的組織已經構建了自己的攻擊鏈,試圖對不同的威脅進行建模。FireEye提出了一種類似於洛歇·馬丁公司的線性模型。在FireEye的攻擊鏈中,威脅的持久性得到了強調。該模型強調,威脅不會在一個周期後結束。[10]
- 偵察:這是攻擊者收集有關目標系統或網絡信息的初始階段。這可能包括掃描漏洞、研究潛在的入口點以及識別組織內的潛在目標。
- 初始入侵:一旦攻擊者收集到足夠的信息,他們就會試圖入侵目標系統或網絡。這可能包括利用軟件或系統中的漏洞,利用社會工程技術欺騙用戶,或使用其他方法獲得初始訪問權限。
- 建立後門:在獲得初始訪問權限後,攻擊者通常會創建一個後門或一個進入受感染系統的持久入口點。這確保了即使初始入侵被發現和緩解,攻擊者仍然可以重新獲得訪問權限。
- 獲取用戶憑據:在系統中立足後,攻擊者可能會試圖竊取用戶憑據。這可能涉及諸如鍵盤記錄、網絡釣魚或利用弱身份驗證機制等技術。
- 安裝各種實用程序:攻擊者可能會在受感染的系統上安裝各種工具、實用程序或惡意軟件,以方便進一步的移動、數據收集或控制。這些工具可能包括遠程訪問木馬(RAT)、鍵盤記錄程序和其他類型的惡意軟件。
- 權限提升/橫向移動/數據竊取:一旦進入系統,攻擊者就會尋求提升其權限,以獲得對網絡的更多控制權。他們可能會在網絡內橫向移動,試圖訪問更有價值的系統或敏感數據。數據竊取涉及竊取並將有價值的信息傳輸到網絡之外。
- 維持持久性:此階段強調攻擊者的目標是在受感染的環境中保持長期存在。他們通過不斷逃避檢測、更新其工具以及適應任何安全措施來做到這一點。
批評
對洛歇·馬丁公司的網絡攻擊鏈模型作為威脅評估和預防工具的批評之一是,第一階段發生在被防禦網絡之外,因此難以識別或防禦這些階段的行動。[11] 同樣,據說這種方法強化了傳統的基於邊界和惡意軟件預防的防禦策略。[12] 其他人則指出,傳統的網絡攻擊鏈不適合對內部威脅進行建模。[13] 考慮到成功入侵內部網絡邊界的攻擊的可能性,這一點尤其令人擔憂,這就是為什麼組織「需要制定一項應對防火牆內攻擊者的策略。他們需要將每個攻擊者都視為潛在的內部人員」。[14]
統一攻擊鏈
![](http://images.weserv.nl/?url=//upload.wikimedia.org/wikipedia/commons/thumb/c/c2/The_Unified_Kill_Chain.png/220px-The_Unified_Kill_Chain.png)
統一攻擊鏈是由Paul Pols在2017年與Fox-IT和萊頓大學合作開發的,旨在通過整合和擴展洛歇·馬丁公司的攻擊鏈和MITRE的ATT&CK框架(兩者都基於James Tubberville和Joe Vest構建的「進入、停留和行動」模型)來克服對傳統網絡攻擊鏈的常見批評。統一版本的攻擊鏈是由18個獨特的攻擊階段組成的有序排列,這些階段可能發生在端到端的網絡攻擊中,涵蓋了在防禦網絡之外和內部發生的活動。因此,統一攻擊鏈改進了傳統攻擊鏈的範圍限制和MITRE的ATT&CK中戰術的時間不可知性。統一模型可用於分析、比較和防禦高級持續性威脅(APT)發起的端到端網絡攻擊。[15] 2021年,Paul Pols發表了關於統一攻擊鏈的後續白皮書。[16]
參考文獻
- ^ 1.0 1.1 U.S. Senate-Committee on Commerce, Science, and Transportation-A "Kill Chain" Analysis of the 2013 Target Data Breach-March 26, 2014 (PDF). (原始內容 (PDF)存檔於October 6, 2016).
- ^ Skopik & Pahi 2020,第4頁.
- ^ Higgins, Kelly Jackson. How Lockheed Martin's 'Kill Chain' Stopped SecurID Attack. DARKReading. January 12, 2013 [June 30, 2016]. (原始內容存檔於2024-01-19).
- ^ Mason, Sean. Leveraging The Kill Chain For Awesome. DARKReading. December 2, 2014 [June 30, 2016]. (原始內容存檔於2024-01-19).
- ^ Myers, Lysa. The practicality of the Cyber Kill Chain approach to security. CSO Online. October 4, 2013 [June 30, 2016]. (原始內容存檔於March 19, 2022).
- ^ Lockheed-Martin Corporation-Hutchins, Cloppert, and Amin-Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains-2011 (PDF). [2021-08-26]. (原始內容存檔 (PDF)於2021-07-27).
- ^ Greene, Tim. Why the 'cyber kill chain' needs an upgrade. 5 August 2016 [2016-08-19]. (原始內容存檔於2023-01-20).
- ^ The Cyber Kill Chain or: how I learned to stop worrying and love data breaches. 2016-06-20 [2016-08-19]. (原始內容存檔於2016-09-18) (美國英語).
- ^ John Franco. Cyber Defense Overview: Attack Patterns (PDF). [2017-05-15]. (原始內容存檔 (PDF)於2018-09-10).
- ^ Kim, Hyeob; Kwon, HyukJun; Kim, Kyung Kyu. Modified cyber kill chain model for multimedia service environments. Multimedia Tools and Applications. February 2019, 78 (3): 3153–3170. ISSN 1380-7501. doi:10.1007/s11042-018-5897-5
(英語).
- ^ Laliberte, Marc. A Twist On The Cyber Kill Chain: Defending Against A JavaScript Malware Attack. DARKReading. September 21, 2016. (原始內容存檔於2023-12-13).
- ^ Engel, Giora. Deconstructing The Cyber Kill Chain. DARKReading. November 18, 2014 [June 30, 2016]. (原始內容存檔於2023-12-15).
- ^ Reidy, Patrick. Combating the Insider Threat at the FBI (PDF). BlackHat USA 2013. [2018-10-15]. (原始內容存檔 (PDF)於2019-08-15).
- ^ Devost, Matt. Every Cyber Attacker is an Insider. OODA Loop. February 19, 2015 [August 26, 2021]. (原始內容存檔於August 26, 2021).
- ^ Pols, Paul. The Unified Kill Chain (PDF). Cyber Security Academy. December 7, 2017 [May 17, 2021]. (原始內容存檔 (PDF)於May 17, 2021).
- ^ Pols, Paul. The Unified Kill Chain. UnifiedKillChain.com. May 17, 2021 [May 17, 2021]. (原始內容存檔於May 17, 2021).
擴展閱讀
- Skopik, Florian; Pahi, Timea. Under false flag: using technical artifacts for cyber attack attribution. Cybersecurity. 2020, 3 (1): 8. ISSN 2523-3246. doi:10.1186/s42400-020-00048-4
(英語).