As 7 fases do Cyber Kill Chain: mapear o ataque para interromper a intrusão

Um mapa do ataque, fase a fase

O Cyber Kill Chain, criado pela Lockheed Martin em 2011, descreve uma intrusão como uma sequência ordenada de fases. O princípio é simples e poderoso: para ter sucesso, o atacante precisa completar todas as fases; ao defensor basta interromper uma para frustrar a operação inteira. Cada fase vira, assim, uma oportunidade de detecção e resposta.

As sete fases

• Reconnaissance — coleta de inteligência sobre o alvo (majoritariamente passiva, difícil de detectar).
• Weaponization — o atacante acopla um exploit a um payload, fora do seu alcance.
• Delivery — a transmissão do payload: o primeiro contato direto e a primeira grande chance de interceptar.
• Exploitation — o código é executado e o acesso inicial é obtido.
• Installation — o acesso temporário vira presença persistente.
• Command & Control — o host abre um canal com o atacante; gera tráfego observável, uma das melhores janelas de detecção.
• Actions on Objectives — exfiltração, sabotagem ou cifragem para extorsão.

Quebrar um elo: defesa em profundidade

O valor prático do modelo está em posicionar controles em várias fases, de modo que a falha de um não signifique o comprometimento total. E quanto mais cedo o elo é quebrado, mais barata é a defesa: interromper na Delivery custa muito menos que responder a uma exfiltração em andamento.

Onde ele brilha — e onde falha

O Kill Chain é um excelente mapa estratégico e uma linguagem comum para comunicar ataques. Mas ele foi desenhado para um adversário externo, linear e centrado em malware — e não é, sozinho, um modelo completo de detecção tática na era de identidade roubada, nuvem e cibercrime fragmentado. A conclusão prática é uma correção de camada, não um descarte.

A ponte com o MITRE ATT&CK

O Kill Chain diz em que fase você está (alto nível); o MITRE ATT&CK diz como aquilo acontece, no nível da técnica observável. Os dois se complementam — e é essa ponte que converte o modelo em detecção real.

O guia completo

Aplicado na camada certa, o Cyber Kill Chain organiza a defesa em profundidade e serve de esqueleto para modelos mais granulares. Foi para percorrer esse caminho — história, as 7 fases, implementação, limitações e a integração com ATT&CK — que escrevemos o e-book Cyber Kill Chain.

⛓️ Baixe gratuitamente: Cyber Kill Chain — Entendimento e Aplicação Prática