Цепочка убийства (Cyber Kill Chain)

Проще говоря, «Цепочка убийства (Cyber Kill Chain)» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.

В практике ИБ термин «Цепочка убийства (Cyber Kill Chain)» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.

При формулировании гипотезы threat hunter опирается на понятие «Цепочка убийства (Cyber Kill Chain)», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.

• Модель DiamondМодель Diamond — аналитическая модель, связывающая противника, возможности, инфраструктуру и жертву в событии вторжения.
• Pyramid of PainPyramid of Pain — модель ценности индикаторов для противника: чем сложнее изменить индикатор, тем болезненнее его блокирование.
• Ретроспективный поискРетроспективный поиск — проверка исторической телеметрии на новые индикаторы, правила или гипотезы.

1. Поставить аналитический вопросДля «Цепочка убийства (Cyber Kill Chain)» заранее определяют, какое решение должен поддержать результат.
2. Собрать и проверить данныеИсточники оценивают по происхождению, времени, достоверности и применимости.
3. Построить гипотезуНаблюдения связывают с инфраструктурой, поведением, противником и контекстом организации.
4. Операционализировать выводРезультат «Цепочка убийства (Cyber Kill Chain)» превращают в поиск, приоритет защиты или изменение обнаружения.