Cyber Kill Chain et son rôle dans la cybersécurité expliqués en 5 minutes ou moins
La chaîne d'élimination cybernétique, conceptualisée par Lockheed Martin en 2011, constitue un cadre de sécurité décrivant les phases d'une cyberattaque. Ce modèle aide à la compréhension, à l'identification et à la défense contre les menaces informatiques.
Pour ceux qui souhaitent en savoir plus, Lockheed Martin est une société internationale spécialisée dans les domaines de l'aérospatiale, de la défense, de l'armement et de la sécurité.
La chaîne d'élimination cybernétique (CEC) est un modèle de sécurité très prisé par les experts en cybersécurité. Elle sert de base pour l'élaboration de stratégies et la protection des organisations contre les cyberattaques.
Pourquoi la chaîne d'élimination cybernétique est-elle cruciale pour la cybersécurité ?
Admettons-le, la cybersécurité est complexe. Il peut sembler simple de donner des conseils aux utilisateurs finaux pour assurer leur sécurité en ligne.
Cependant, face à une cyberattaque réelle, les organisations doivent maîtriser de nombreuses informations techniques. On ne peut pas s'attendre à ce qu'une organisation se défende efficacement contre des cybermenaces en se basant sur quelques recommandations de sécurité, n'est-ce pas ?
Un cadre, ou modèle, est donc indispensable pour poser les bases de la compréhension des cyberattaques et pour mettre en œuvre des mesures de défense adaptées.
La chaîne d'élimination cybernétique est un modèle de sécurité classique qui permet de comprendre les étapes d'une cyberattaque. Il se compose de sept phases, que nous allons détailler ci-dessous.
Le rôle de la chaîne d'élimination cybernétique en cybersécurité
Au-delà de la simple description d'une cyberattaque, la chaîne d'élimination cybernétique aide les organisations à identifier les attaquants, à bloquer l'accès aux utilisateurs non autorisés, à atténuer les effets d'une attaque en cours et à stopper un assaillant infiltré dans le réseau.
Elle aide les organisations et les professionnels de la cybersécurité à établir une stratégie efficace.
Cependant, la chaîne d'élimination cybernétique ne peut pas tout garantir. Divers facteurs externes ou internes à l'organisation entrent en ligne de compte, et ce modèle ne les prend pas tous en considération.
Les phases de la chaîne d'élimination cybernétique
Crédits image : Lockheed Martin
Le modèle CEC se compose de sept étapes qui décrivent le déroulement d'une cyberattaque:
- Reconnaissance
- Préparation
- Livraison
- Exploitation
- Installation
- Commandement et contrôle
- Action
#1. Reconnaissance
La reconnaissance, la première phase, consiste pour l'attaquant à collecter des informations.
L'assaillant recherche des points d'accès et des faiblesses au sein d'un réseau. Il identifie et collecte des adresses électroniques, des adresses physiques et des données liées aux logiciels pouvant servir à la conception d'une attaque.
Plus un attaquant dispose d'informations, plus l'attaque peut être efficace. Cette phase de surveillance de l'attaque peut se dérouler en ligne ou hors ligne. Il est donc difficile de détecter une activité malveillante à ce stade.
Pour contrer cette phase, les organisations doivent insister sur la confidentialité, en limitant l'accès physique aux personnes autorisées ou en demandant aux utilisateurs de ne pas partager d'informations sensibles en ligne.
Par exemple, l'utilisation d'outils de confidentialité pour protéger son identité en ligne est fortement recommandée.
#2. Préparation
L'acteur malveillant conçoit l'arme, c'est-à-dire le logiciel malveillant ou l'outil qui sera utilisé pour la cyberattaque.
Il peut utiliser des outils existants ou les modifier en fonction de l'objectif afin de préparer la phase de livraison, qui est la suivante.
L'arme créée dépend de l'intention de l'attaquant : perturber les services, voler des données ou réclamer une rançon en échange de données sensibles.
L'arme peut prendre toutes les formes nécessaires pour atteindre l'objectif.
#3. Livraison
Cette phase est cruciale car elle marque le début de l'opportunité pour l'attaquant.
Si la livraison réussit, le logiciel malveillant pénètre dans le système et commence son action. En cas d'échec, toute la stratégie d'attaque est compromise.
L'attaquant utilise des outils pour diffuser le logiciel malveillant, par exemple, des pièces jointes malveillantes, des e-mails de phishing pour obtenir des informations d'identification, ou des SMS trompeurs incitant l'utilisateur à accorder une autorisation. L'assaillant utilise les informations collectées lors de la phase de surveillance pour rendre le message ou le lien convaincant, afin que la cible clique dessus sans y prêter attention.
Si les organisations et leurs employés sont sensibilisés aux attaques de phishing et à d'autres cyberattaques fréquentes, il sera plus difficile de réussir la phase de livraison.
#4. Exploitation
L'attaquant a identifié les failles et a pénétré dans le système de la victime.
La vulnérabilité connue est exploitée pour exécuter le code malveillant livré. Durant cette étape, l'attaquant peut également mieux comprendre le système et découvrir les points faibles.
Tout système vulnérable connecté au réseau court le risque d'être compromis.
#5. Installation
Après avoir identifié toutes les failles, l'attaquant installe le logiciel malveillant et introduit d'autres codes malveillants pour exploiter des éléments inconnus au départ.
Cette phase marque la fin de l'infiltration, l'attaquant étant désormais profondément ancré dans le réseau compromis.
#6. Commandement et contrôle
L'infiltration étant terminée, il est temps pour l'attaquant de prendre le contrôle du système ou du réseau compromis.
Il peut choisir de suivre les informations à distance, de surveiller l'activité ou de commencer à perturber le système et les services. Cela peut prendre la forme d'attaques DDoS, ou de l'ajout d'une porte dérobée permettant d'accéder au système à tout moment sans être détecté.
#7. Action
En fonction de son objectif, l'attaquant lance l'action finale afin d'atteindre son but.
Il peut crypter les données et réclamer une rançon, infecter le système pour propager des logiciels malveillants, perturber les services ou voler des données pour les divulguer ou les modifier. Les actions sont nombreuses et variées.
Comment la chaîne d'élimination cybernétique contribue-t-elle à la protection contre les attaques ?
La compréhension de la manière dont les attaquants pénètrent dans le réseau et les systèmes permet aux organisations et à leurs employés de mieux se défendre.
Par exemple, la chaîne d'élimination cybernétique montre que les vulnérabilités d'un réseau peuvent aider un attaquant à s'infiltrer rapidement. Les organisations peuvent donc envisager d'utiliser des outils de détection et de réponse aux points finaux pour renforcer leur stratégie de cybersécurité par des techniques de détection précoce.
De même, vous pouvez utiliser un pare-feu pour protéger l'infrastructure cloud et des services de protection DDoS basés sur le cloud afin de renforcer la sécurité.
Les VPN peuvent également être utilisés pour sécuriser les données au sein d'une entreprise.
Les organisations peuvent utiliser efficacement le modèle de la chaîne d'élimination cybernétique en sélectionnant des solutions adaptées à chaque étape d'une cyberattaque.
La chaîne d'élimination cybernétique est-elle suffisante ?
La réponse est à la fois oui et non.
Comme mentionné précédemment, la chaîne d'élimination cybernétique ne traite que certains aspects fondamentaux d'une cyberattaque. Mais même si une organisation se défend contre tous ces aspects, c'est déjà une grande victoire.
Certains experts en cybersécurité ont ajouté une huitième étape au modèle.
La huitième étape concerne la monétisation :
Cette phase explique comment les attaquants tirent profit d'une attaque réussie. Qu'il s'agisse d'une demande de rançon ou de l'utilisation de cryptomonnaies, il est important que l'organisation sache gérer de telles situations.
De manière générale, le modèle est considéré comme dépassé compte tenu des avancées numériques. Les cyberattaques sont devenues plus complexes, même si les principes de base restent les mêmes. Par exemple, le modèle CEC ne prend pas en compte tous les types d'attaques, mais se limite aux logiciels malveillants.
Il ne prend pas non plus en compte les menaces internes, telles qu'un employé malhonnête qui pourrait nuire à l'organisation.
Compte tenu de la complexité croissante des cyberattaques, due à l'évolution du cloud et de l'intelligence artificielle, d'autres modèles peuvent être mentionnés, tels que MITRE ATT&CK et Unified Kill Chain.