Unified Kill Chain

Définition

La Unified Kill Chain (UKC) est un modèle de description d'attaque cybernétique développé par Paul Pols en 2017, combinant et étendant la Cyber Kill Chain de Lockheed Martin et MITRE ATT&CK en une séquence de 18 phases. Conçu pour modéliser des attaques modernes et complexes (APT, mouvements latéraux, exfiltration multi-vecteurs), l'UKC offre une granularité supérieure aux modèles existants. Les 18 phases de l'Unified Kill Chain s'organisent en trois macro-phases. La phase 'In' (phases d'entrée initiale) comprend : Reconnaissances, Weaponization, Delivery, Social Engineering, Exploitation, Persistence, Defense Evasion, Command and Control. La phase 'Through' (propagation dans le réseau) comprend : Pivoting, Discovery, Privilege Escalation, Execution, Credential Access, Lateral Movement. La phase 'Out' (accomplissement des objectifs finaux) comprend : Collection, Exfiltration, Impact, Objectives. Par rapport à la Cyber Kill Chain originale, l'UKC présente plusieurs améliorations majeures. Elle modélise explicitement le mouvement latéral comme une boucle itérative (un attaquant peut se déplacer plusieurs fois avant d'atteindre ses objectifs), distingue l'escalade de privilèges de l'exploitation initiale, inclut la phase de Social Engineering comme étape distincte, et reconnaît que les objectifs finaux (Impact) peuvent être multiples et simultanés. L'utilisation de l'UKC en DFIR permet de positionner chaque finding de l'investigation dans le contexte de l'attaque complète. La visualisation de l'UKC avec les phases confirmées, probables, et inconnues fournit une carte de la progression de l'attaquant compréhensible par les parties prenantes non techniques. Elle guide également l'orientation des recherches forensiques : si les phases 'In' sont confirmées mais les phases 'Through' inconnues, concentrer l'investigation sur la découverte des techniques de mouvement latéral utilisées.