Kill Chain Cyber

Définition

La Cyber Kill Chain est un modèle développé par Lockheed Martin en 2011 pour décrire les étapes successives d'une cyberattaque avancée (APT). Inspiré du concept militaire de kill chain, il offre un cadre permettant aux défenseurs de comprendre, détecter, et interrompre les attaques à chacune de leurs phases. La Cyber Kill Chain originale de Lockheed Martin définit sept phases séquentielles. La Reconnaissance est la phase de collecte d'information sur la cible (OSINT, scan réseau, social engineering passif). La Weaponization consiste à développer ou préparer l'outil d'attaque (malware, exploit) adapté à la cible. La Delivery est la phase de livraison du vecteur d'attaque (phishing, watering hole, clé USB, exploitation de services exposés). L'Exploitation est le déclenchement de la vulnérabilité sur le système cible. L'Installation établit la persistance (dropper, implant, backdoor). Le Command and Control (C2) établit le canal de communication entre le malware et l'attaquant. Actions on Objectives est la phase finale où l'attaquant accomplit son objectif (exfiltration, destruction, chiffrement). L'utilité du modèle pour les défenseurs est que chaque phase offre des opportunités de détection et d'interruption. Plus tôt dans la kill chain une attaque est détectée, moins le damage potentiel est important. Bloquer la delivery (phishing) évite l'exploitation. Détecter le C2 permet le confinement avant exfiltration. Le concept de 'defender's advantage' stipule que l'attaquant doit réussir à chaque phase, tandis que le défenseur n'a besoin de réussir qu'une seule fois. Des évolutions du modèle incluent la Unified Kill Chain (18 phases, plus granulaire) et ATT&CK (beaucoup plus détaillé sur les techniques individuelles). Ces modèles complémentaires sont souvent utilisés ensemble pour structurer les investigations forensiques et les évaluations de sécurité.