Was bedeutet Cyber-Kill-Chain?

Der ursprünglich aus dem militärischen Kontext stammende Begriff wurde erstmals von Lockheed Martin im Rahmen des Modells „Intelligence Driven Defense“ definiert und veröffentlicht.

Die Cyber-Kill-Chain ist ein Konzept, das zur Beschreibung der verschiedenen Phasen eines Cyberangriffs entwickelt wurde. Es hilft dabei, die Vorgehensweise von Angreifern zu verstehen und Gegenmaßnahmen zu ergreifen, um den bevorstehenden Angriff abzuwenden. Die Maßnahme, die vor allem in Unternehmen und öffentlichen Institutionen Anwendung findet, hilft dabei, Strukturierung und Organisation in die Bekämpfung von Cyberangriffen zu bringen. Dabei spielt es keine Rolle, ob der Angriff von Malware, Trojanern, Ransomware oder Social Engineering ausgeht.

Wie ist die Cyber-Kill-Chain aufgebaut?

Die Cyber-Kill-Chain besteht aus mehreren aufeinanderfolgenden Phasen, die ein Angreifer typischerweise durchläuft, um sein Ziel zu erreichen. Das Modell besagt, dass ein Angriff an jedem beliebigen Punkt der Kette gestoppt werden kann. Die Erfolgsaussichten eines erfolgreich unterbundenen Angriffs steigen allerdings mit Unterbrechung des Cyberangriffs zu einem frühen Zeitpunkt. Jeder definierte Punkt in der Kette zeigt auf, in welchem Stadium sich der Angriff zu diesem Zeitpunkt befindet und wie entsprechend darauf reagiert werden kann.

Die erste Phase ist die Erkundungsphase, in der der Angreifer Informationen über das potenzielle Ziel sammelt. Dies kann die Identifizierung von Schwachstellen, offenen Ports oder Angriffsvektoren beinhalten. Um sich hiervor zu schützen, ist es wichtig, regelmäßig Sicherheitsüberprüfungen durchzuführen, Schwachstellen zu beheben und sicherzustellen, dass Firewalls und Intrusion Detection/ Prevention-Systeme aktiviert sind. Zudem empfiehlt sich, auf eine SSL/TLS-Verschlüsselung beim Zugriff auf diverse Websites zu achten.

Die nächste Phase ist die Angriffsplanung, in der der Angreifer seine Angriffsstrategie entwickelt. Alle benötigten Werkzeuge für einen erfolgversprechenden Angriff werden zusammengestellt. Hierfür bedienen sich Täter einem oder mehrerer Angriffsvektoren. Diese reichen von gestohlenen Zugangsdaten bis hin zu Fehlkonfigurationen im System. Um sich vor dieser Phase zu schützen, ist es entscheidend, das Sicherheitsbewusstsein zu fördern, Mitarbeiterschulungen durchzuführen und Sicherheitsrichtlinien zu implementieren. Behalte hierbei immer im Hinterkopf, dass die Sicherheit Deines Unternehmens nur so stark ist, wie ihre schwächste Stelle.

Nach der Planung erfolgt die Bereitstellung der Angriffsmittel, bei der der Angreifer seine ausgewählten Methoden einsetzt, um Zugang zum Ziel zu erhalten. Dies kann beispielsweise durch Phishing-E-Mails, Social Engineering oder Ausnutzung von Schwachstellen in der Infrastruktur geschehen. In der dritten Phase installieren Täter Schadprogramme, die meist ein breites Spektrum an Angriffsmöglichkeiten beinhalten. Dabei kann differenziert werden, ob der Zugriff auf Unternehmensdaten einmalig ist oder ob Hacker mittels einer Remote-Verbindung über einen längeren Zeitraum Kontrolle über das Netzwerk haben. Als Präventivmaßnahmen sind die Verwendung von starken Passwörtern, die Aktivierung von Multifaktor-Authentifizierung sowie die Durchführung regelmäßige Sicherheitsbewertungen zu nennen.

Sobald der Angreifer Zugang zum Ziel hat, erfolgt die Ausführung des eigentlichen Angriffs, bei dem Daten gestohlen, Systeme manipuliert oder Ressourcen beeinträchtigt werden können. Hierbei wird nicht selten eine Schadsoftware installiert und eine Backdoor angebracht, die den Tätern konstanten Zugriff auf die Systeme ermöglicht. Um sich davor zu schützen, sollten Sicherheitsvorkehrungen wie Firewalls, Antivirenprogramme, SIEM-Lösungen und Intrusion Detection/Prevention-Systeme implementiert werden. Regelmäßige Überwachung und Protokollierung von Netzwerkaktivitäten können ebenfalls hilfreich sein.

Nachdem die Backdoor installiert ist, geht der Angriff in Phase sechs über: Der Angreifer übernimmt die Kontrolle über das System und kann nach Belieben Ransomware und andere Methoden zum Exfiltrieren von Daten installieren. Die letzte Phase der Cyber-Kill-Chain ist die Nachwirkung, bei der der Angreifer Spuren verwischen und Zugangskontrolle erhalten möchte, um weiterhin unbemerkt auf das Ziel zugreifen zu können. Nicht selten verschlüsseln Cyber-Kriminelle die gestohlenen Daten, um diese gegen eine Lösegelderpressung wieder freizugeben. Meist versuchen die Angreifer, die entsprechende Software auf Entfernung zu kontrollieren und das System weiterhin zu überwachen. Es ist wichtig, Sicherheitsvorfälle zu untersuchen, Aktivitäten in Echtzeit zu überwachen, Logdateien zu analysieren und Zugriffsrechte zu überprüfen.

Hattest Du schon einmal mit Cyberangriffen zu tun? Lass es uns gerne wissen. Selbstverständlich stehen wir Dir mit unseren Sicherheitslösungen jederzeit zur Verfügung.

Deine Vanessa von netGoose