Kill Chain cybersécurité

Unified Kill Chain — évolution du modèle

La Unified Kill Chain (UKC) de Paul Pols est une évolution du modèle Lockheed Martin qui intègre l'ensemble du cycle d'attaque, incluant les phases post-compromission détaillées souvent absentes de la Kill Chain originale. L'UKC décrit 18 phases organisées en 3 macro-phases : In (accès initial — Reconnaissance, Weaponization, Delivery, Social Engineering, Exploitation, Persistence, Defense Evasion, C2), Through (propagation interne — Pivoting, Discovery, Privilege Escalation, Execution, Credential Access, Lateral Movement), et Out (atteinte des objectifs — Collection, Exfiltration, Impact). Cette vision plus complète est particulièrement utile pour les exercices Red Team et la planification des contrôles défensifs contre les attaques APT. La UKC est alignée avec MITRE ATT&CK pour faciliter le mapping des techniques détectées aux phases de la Kill Chain.

MITRE ATT&CK — extension de la Kill Chain

MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) est la base de connaissances de référence sur les comportements des adversaires cyber, organisée en Tactiques (objectifs de haut niveau — Initial Access, Execution, Persistence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, Collection, C2, Exfiltration, Impact) et Techniques (méthodes spécifiques pour atteindre chaque objectif — plus de 600 techniques et sous-techniques). ATT&CK est maintenu par MITRE et mis à jour régulièrement avec les nouvelles techniques observées dans les attaques réelles. Usages principaux : aligner les exercices Red Team sur les TTPs des adversaires réels, évaluer la couverture de détection du SOC (quelles techniques sont détectées vs non détectées), structurer les threat hunts, et catégoriser les incidents de sécurité. ATT&CK Navigator est un outil web open-source pour visualiser et annoter la matrice ATT&CK selon la couverture de détection ou les TTPs d'un acteur spécifique.

Interruption de la Kill Chain — défense en profondeur

La défense en profondeur (Defence in Depth) aligne les contrôles de sécurité sur les étapes de la Kill Chain pour maximiser les opportunités d'interruption. Étape Reconnaissance : OSINT défensif (réduire l'exposition d'informations sensibles), monitoring CTI (détecter les scans préliminaires). Étape Delivery : anti-spam/phishing (DMARC, filtrage email), filtrage web (bloquer les sites de phishing connus). Étape Exploitation : patching rigoureux, désactivation des macros Office, sandboxing des pièces jointes. Étape Installation : EDR (détection d'exécutables suspects, protection mémoire), Application Whitelisting. Étape C2 : filtrage DNS (bloquer les domaines C2 connus), détection NDR des beacons, proxy web. Étape Actions on Objectives : DLP (détecter l'exfiltration), sauvegardes immuables (limiter l'impact ransomware), segmentation (limiter le blast radius). La corrélation de ces détections dans le SIEM permet de reconstituer la Kill Chain d'une attaque et d'identifier à quelle étape elle a été interrompue ou a réussi.