网络杀伤链Cyber​​ Kill Chain和防御方法【含动画】

        由 Lockheed Martin 开发的 Cyber​​ Kill Chain® 框架是 Intelligence Driven Defense® 模型的一部分，用于识别和预防网络入侵活动。该模型确定了对手必须完成哪些任务才能实现其目标。Cyber​​ Kill Chain® 的七个步骤增强了对攻击的可见性，并丰富了分析师对对手战术、技术和程序的理解。

网络杀伤链攻击过程及防御方式

网络杀伤链由 7 个步骤组成：侦察、武器化、投递、漏洞利用、安装、指挥和控制，目标行动。下面对每个步骤做简单介绍。

 

基于这些阶段，提供了以下方法进行防御，不同阶段采用不同的方法相结合：
检测 - 确定渗透组织的尝试。
拒绝 - 在攻击发生时停止攻击。
中断——干预是攻击者完成的数据通信，然后停止它。
降级——为了限制网络安全攻击的有效性，以尽量减少其不良影响。
欺骗 – 通过向攻击者提供错误信息或误导他们来误导攻击者。
遏制 - 遏制和限制攻击的范围，使其仅限于组织的某些部分。

以下将描述每个阶段的攻击过程及相应的防御方式。

1.侦察 Reconnaissance

攻击者收集有关目标和攻击策略的数据。这包括收集电子邮件地址和收集其他信息。入侵者使用自动扫描器来查找系统中的漏洞点。这包括扫描防火墙、入侵防御系统等，以获得攻击的入口点。

防御：

检测：网络分析；威胁情报；网络入侵检测系统
拒绝：信息共享政策；防火墙访问控制列表
 

2. 武器化  Weaponization

攻击者利用安全漏洞开发恶意软件。攻击者根据他们的需求和攻击意图设计恶意软件。此过程还涉及攻击者试图减少被组织现有的安全解决方案检测到的机会。

防御：

检测：威胁情报；网络入侵检测系统
拒绝：网络入侵防御系统
 

3. 投递 Delivery

攻击者通过网络钓鱼电子邮件或其他某种媒介传播武器化的恶意软件。武器化有效载荷最常见的传送媒介包括网站、可移动磁盘和电子邮件。这是安全团队可以阻止攻击的最重要阶段。

防御：

检测：端点恶意软件保护
拒绝：变更管理；应用白名单；代理过滤器；基于主机的入侵防御系统
中断：内联防病毒
降级：排队
遏制：路由器访问控制列表；应用感知防火墙；信任区；区域间网络入侵检测系统

 

4. 漏洞利用 Exploitation

恶意代码被传送到组织的系统中。边界在这里被破坏。攻击者有机会通过安装工具、运行脚本和修改安全证书来利用组织的系统。
大多数情况下，目标是应用程序或操作系统的漏洞。利用攻击的示例可以是脚本编写、动态数据交换和本地作业调度。

防御：

检测：端点恶意软件保护；基于主机的入侵检测系统
拒绝：安全密码；补丁管理
中断：数据执行保护
遏制：应用感知防火墙；信任区；区域间网络入侵检测系统

5. 安装 Installstion

恶意软件安装了后门或远程访问木马，提供对入侵者的访问权限。这也是可以使用 HIPS（基于主机的入侵防御系统）等系统阻止攻击的另一个重要阶段。

防御：

检测：安全信息和事件管理（SIEM）；基于主机的入侵检测系统
拒绝：权限分离；强密码；两因素身份验证
中断：路由器访问控制列表
遏制：应用感知防火墙；信任区；区域间网络入侵检测系统

6. 指挥与控制  Command and Control

攻击者可以控制组织的系统和网络。攻击者获得特权帐户的访问权限并尝试暴力攻击、搜索凭据并更改权限以接管控制权。

防御： 

检测：网络入侵检测系统；基于主机的入侵检测系统
拒绝：防火墙访问控制列表；网络分割
中断：基于主机的入侵防御系统
降级：Tarpit。（Tarpit 是计算机系统（通常是服务器）上的一项服务，它故意延迟传入连接。该技术是为了防御计算机蠕虫而开发的，其想法是网络滥用（如垃圾邮件或广泛扫描）如果持续时间过长，则效果较差，因此吸引力也较低。这个概念类似于焦油坑，动物可以在其中陷入困境并慢慢沉入水面，就像在沼泽中一样。）
欺骗：域名系统重定向
遏制：信任区；域名系统漏洞

7. 目标行动 Actions on Objective

攻击者最终从系统中提取数据。目标涉及从组织环境中收集、加密和提取机密信息。

防御：

检测：端点恶意软件保护
拒绝：静态数据加密
中断：端点恶意软件保护
降级：服务质量
欺骗：蜜罐
遏制：事件响应

参考：

1、The Cyber Kill Chain

 https://www.youtube.com/watch?v=LqCbpiDyN8o&list=PLSNNzog5eyduYEO-6i6B0uShqjusETugo&index=5

2、What Is the Cyber Kill Chain and How It Can Protect Against Attacks：https://www.computer.org/publications/tech-news/trends/what-is-the-cyber-kill-chain-and-how-it-can-protect-against-attacks

3、 Cyber Kill Chain官网：https://www.lockheedmartin.com/en-us/capabilities/cyber/cyber-kill-chain.html