Le cadre de la Cyber Kill Chain est-il obsolète ?
Depuis son introduction, le concept de la chaîne d'élimination cybernétique a joué un rôle déterminant dans l'identification et la neutralisation de menaces informatiques élaborées. Toutefois, de nombreux spécialistes en cybersécurité estiment aujourd'hui que cette méthodologie est inadaptée pour offrir une protection efficace face aux cyberattaques dans un environnement de menaces en perpétuelle mutation.
Qu'est-ce que précisément ce cadre de la chaîne d'élimination cybernétique, comment fonctionne-t-il et quelles sont ses limitations ? Poursuivez votre lecture pour le découvrir.
Qu'est-ce qu'un Cadre de Chaîne d'Élimination Cybernétique ?
Conçu par Lockheed Martin, le cadre de la chaîne d'élimination cybernétique est une adaptation du modèle de la chaîne d'élimination militaire, conçu pour identifier et contrecarrer les agissements ennemis.
Il permet aux équipes de sécurité de comprendre et de combattre les intrusions en décrivant les différentes étapes d'une cyberattaque. De plus, il identifie des points critiques à chaque étape où les professionnels de la cybersécurité peuvent détecter, identifier et intercepter les assaillants.
La chaîne d'élimination cybernétique contribue à la protection contre les menaces persistantes avancées (APT), où les auteurs malveillants consacrent un temps considérable à l'observation de leurs victimes et à la planification de cyberattaques. Ces attaques font fréquemment appel à des logiciels malveillants, des chevaux de Troie, des tactiques d'ingénierie sociale et autres.
Le modèle de la chaîne d'élimination cybernétique est constitué de sept phases : reconnaissance, armement, livraison, exploitation, installation, commande et contrôle, et actions sur les objectifs.
Chaque phase représente une étape du processus d'attaque.
Phases du Cadre de la Chaîne d'Élimination Cybernétique
Le cadre de cybersécurité de la chaîne d'élimination cybernétique aide les équipes de sécurité à anticiper les mouvements des attaquants pour une interception plus rapide.
Crédit image : Lockheed Martin
Voici les sept phases du processus de la chaîne d'élimination cybernétique.
#1. Reconnaissance
La phase de reconnaissance consiste à collecter des informations sur la cible visée, qu'il s'agisse d'un individu ou d'un réseau.
On distingue deux types de phases de reconnaissance.
Reconnaissance Passive
Durant cette étape, les pirates s'efforcent d'amasser des données à partir de sources accessibles au public. Cela peut comprendre l'examen de WHOIS, des offres d'emploi, de LinkedIn, des profils de réseaux sociaux, des sites Web d'entreprises, etc. Ils peuvent également utiliser des outils tels qu'ARIN ou SHODAN pour détecter des vulnérabilités et des points d'entrée potentiels.
Comme la reconnaissance passive n'implique aucune interaction avec les organisations, les pirates cherchent à recueillir un maximum d'informations sur leur cible au cours de cette phase.
Reconnaissance Active
Dans cette phase, les acteurs malveillants interagissent directement avec votre organisation afin de recueillir des informations qui pourraient les aider à s'introduire dans votre réseau d'entreprise. Ils utilisent des outils tels que NMAP, des scanners de vulnérabilités, des scanners de ports ou la capture de bannières.
La phase de reconnaissance joue un rôle déterminant dans toute cyberattaque. Plus un acteur malveillant dispose d'informations sur le réseau de sa cible, mieux il pourra planifier ses attaques.
Pour contrer les acteurs malveillants lors des phases de reconnaissance passive et active, vous pouvez suivre les mesures suivantes :
- Limitez l'exposition des informations publiques que les pirates pourraient exploiter pour planifier des attaques de phishing.
- Mettez en place une politique d'utilisation appropriée des médias sociaux.
- Modifiez les messages d'erreur du serveur pour qu'ils ne divulguent pas publiquement d'informations cruciales sur votre réseau.
- Désactivez les ports et services inutilisés.
- Déployez un pare-feu avec une fonctionnalité de système de prévention des intrusions (IPS).
L'objectif principal de la phase de reconnaissance est de découvrir une faille que les pirates pourraient exploiter pour pénétrer dans votre réseau.
Par conséquent, la mise en place de pots de miel et de réseaux de pots de miel est un excellent moyen de déceler les vulnérabilités de votre réseau et de renforcer vos défenses.
#2. Armement
La phase d'armement consiste à créer un outil d'attaque (vecteur d'attaque) capable d'exploiter les failles du système ou du réseau identifiées lors de la phase de reconnaissance.
Le processus d'armement peut comprendre la sélection (ou la création) de logiciels malveillants, de rançongiciels ou de codes malveillants d'accès à distance adaptés à la vulnérabilité.
L'attaquant dissimule le malware dans un fichier d'apparence inoffensive, tel qu'un document Word ou un PDF. Le but est de tromper la cible pour qu'elle l'ouvre.
Des outils tels que Metasploit, SQLMAP, Exploit-DB ou des kits d'outils d'ingénierie sociale sont couramment utilisés lors de la phase d'armement.
L'étape d'armement concerne les vecteurs d'attaque que les pirates informatiques utiliseraient pour attaquer les systèmes et les réseaux.
Il est donc judicieux de renforcer votre défense afin d'empêcher les vecteurs d'attaque de pénétrer dans vos systèmes et réseaux.
Voici quelques conseils pour démarrer.
- Soyez proactif dans la gestion des correctifs au sein de votre entreprise. Cela diminuera la surface d'attaque en éliminant les vulnérabilités dans les logiciels et les systèmes d'exploitation.
- Installez un bon antivirus sur tous les points de terminaison.
- Désactivez les macros Office, JavaScript et les plugins de navigateur superflus.
- Mettez en place des outils de sécurité de messagerie et utilisez l'isolation de navigateur au sein de votre entreprise.
- Utilisez les journaux d'audit pour identifier toute anomalie au sein du réseau.
Vous devez également disposer d'un système performant de détection et de prévention des intrusions, et vous assurer que l'authentification multifacteur est mise en œuvre au sein de votre entreprise.
#3. Livraison
Les pirates ont donc sélectionné un vecteur d'attaque approprié pour exploiter les vulnérabilités. Vient maintenant la phase de livraison, au cours de laquelle les attaquants tentent d'infiltrer votre réseau.
Les méthodes de livraison peuvent varier en fonction du type de vecteur d'attaque utilisé.
Voici quelques exemples typiques de méthodes de livraison :
- Sites Web : les acteurs malveillants peuvent compromettre des sites Web tiers que des cibles potentielles visitent fréquemment.
- E-mails : les attaquants peuvent envoyer des e-mails infectés contenant des logiciels malveillants.
- Clés USB : ils peuvent laisser des clés USB infectées dans des lieux publics, en espérant que les utilisateurs les brancheront sur leurs systèmes.
- Médias sociaux : les cybercriminels peuvent utiliser les médias sociaux pour lancer des attaques de phishing susceptibles d'inciter les utilisateurs à cliquer sur des liens infectés.
La meilleure défense contre les vecteurs d'attaque courants consiste à se concentrer sur la formation des employés.
Vous pouvez également mettre en œuvre des solutions de filtrage Web, de filtrage DNS, et désactiver les ports USB sur vos appareils.
#4. Exploitation
Durant la phase d'exploitation, les assaillants utilisent l'arme pour exploiter les failles du système de la cible. Cela marque le début de l'attaque proprement dite après le lancement de l'arme.
Voici une analyse plus détaillée :
- Les attaquants localisent les vulnérabilités du logiciel, du système ou du réseau.
- Ils introduisent l'outil ou le code malveillant destiné à exploiter ces vulnérabilités.
- Le code d'exploitation est activé, exploitant les vulnérabilités pour obtenir un accès non autorisé ou des privilèges.
- Après avoir pénétré le périmètre, les attaquants peuvent poursuivre l'exploitation des systèmes de la cible en installant des outils malveillants, en exécutant des scripts ou en modifiant les certificats de sécurité.
Cette phase est cruciale car elle transforme une simple menace en incident de sécurité. L'objectif de cette étape est d'accéder à vos systèmes ou réseau.
Une attaque réelle peut prendre la forme d'une injection SQL, d'un débordement de tampon, d'un malware, d'un détournement JavaScript, etc.
Ils peuvent se déplacer latéralement au sein du réseau, en identifiant ainsi des points d'entrée supplémentaires.
À ce stade, un pirate informatique se trouve au sein de votre réseau et exploite des vulnérabilités. Vos ressources pour protéger vos systèmes et votre réseau sont limitées.
Vous pouvez utiliser la fonctionnalité de prévention de l'exécution des données (DEP) et la fonction anti-exploit de votre antivirus (si celui-ci en est doté) pour vous protéger contre l'exploitation.
Certains outils EDR peuvent également aider à détecter et à répondre rapidement aux cyberattaques.
#5. Installation
Également connue sous le nom d'étape d'élévation de privilèges, l'étape d'installation consiste à installer des logiciels malveillants et à déployer d'autres outils malveillants afin que les acteurs malveillants puissent maintenir un accès persistant à vos systèmes et réseaux, même après la correction et le redémarrage du système compromis.
Les techniques standard utilisées lors de la phase d'installation comprennent :
- Le détournement de DLL
- L'installation d'un cheval de Troie d'accès à distance (RAT)
- Des modifications du registre pour que les programmes malveillants puissent démarrer automatiquement
Les attaquants peuvent également chercher à créer une porte dérobée pour accéder de manière permanente aux systèmes ou aux réseaux, même lorsque le point d'entrée initial est fermé par les experts en sécurité.
Si les cybercriminels ont réussi à atteindre ce stade, votre protection est limitée. Votre système ou réseau a été infecté.
À présent, vous pouvez utiliser des outils post-infection tels que les outils d'analyse du comportement des utilisateurs (UBA) ou les outils EDR afin de vérifier l'existence d'une activité inhabituelle liée au registre et aux fichiers système, et vous devez être prêt à déployer votre plan de réponse aux incidents.
#6. Commande et Contrôle
Lors de la phase de commande et de contrôle, l'attaquant établit une connexion avec le système compromis. Cette liaison permet le contrôle à distance de la cible. L'attaquant peut dès lors envoyer des commandes, recevoir des données ou même télécharger des logiciels malveillants supplémentaires.
Deux tactiques fréquemment utilisées ici sont l'obscurcissement et le déni de service (DoS).
- L'obscurcissement aide les attaquants à dissimuler leur présence. Ils peuvent supprimer des fichiers ou modifier le code pour éviter d'être détectés. Ils brouillent essentiellement les pistes.
- Le déni de service distrait les équipes de sécurité. En causant des problèmes dans d'autres systèmes, ils détournent votre attention de leur objectif principal. Cela peut impliquer des perturbations du réseau ou l'arrêt des systèmes.
À ce stade, votre système est totalement compromis. Vous devez vous concentrer sur la limitation du contrôle des pirates et sur la détection des activités inhabituelles.
La segmentation du réseau, les systèmes de détection d'intrusion (IDS) et la gestion des informations et des événements de sécurité (SIEM) peuvent vous aider à limiter les dégâts.
#7. Actions sur l'objectif
Les sept étapes de la chaîne d'élimination cybernétique culminent lors de la phase "Actions sur les objectifs". Ici, les attaquants atteignent leur objectif principal. Cette étape peut durer des semaines voire des mois, en fonction des succès précédents.
Les objectifs finaux typiques incluent, sans s'y limiter, le vol de données, le cryptage de données sensibles, les attaques de la chaîne d'approvisionnement et bien d'autres.
En mettant en œuvre des solutions de sécurité des données, des solutions de sécurité des points de terminaison et une sécurité zéro confiance, vous pouvez limiter les dégâts et empêcher les pirates d'atteindre leurs objectifs.
La Chaîne d'Élimination Cybernétique Peut-elle Relever les Défis de Sécurité Actuels ?
Le modèle de la chaîne d'élimination cybernétique aide à comprendre et à lutter contre diverses cyberattaques. Toutefois, sa structure linéaire pourrait ne pas suffire à contrer les attaques sophistiquées multi-vecteurs d'aujourd'hui.
Voici les faiblesses du cadre traditionnel de la chaîne d'élimination cybernétique.
#1. Ignore les Menaces Internes
Les menaces internes émanent de personnes au sein de l'organisation, comme des employés ou des sous-traitants, qui ont un accès légitime à vos systèmes et à votre réseau. Ils peuvent abuser de leur accès, intentionnellement ou non, ce qui peut entraîner des violations de données ou d'autres incidents de sécurité.
En effet, 74 % des entreprises estiment que les menaces internes sont devenues plus fréquentes.
Le modèle traditionnel de la chaîne d'élimination cybernétique ne tient pas compte de ces menaces internes, car il est conçu pour suivre les activités des assaillants externes.
Dans le cas de menaces internes, un attaquant n'a pas besoin de franchir de nombreuses étapes décrites dans la chaîne d'élimination cybernétique, comme la reconnaissance, l'armement ou la livraison, car il a déjà accès aux systèmes et au réseau.
Cette lacune majeure du cadre le rend incapable de détecter ou d'atténuer les menaces internes. L'absence de mécanisme permettant de surveiller et d'analyser le comportement ou les schémas d'accès des personnes au sein de l'organisation constitue une limitation importante du cadre de la chaîne d'élimination cybernétique.
#2. Capacité de Détection d'Attaques Limitée
La portée de la chaîne d'élimination cybernétique est relativement étroite lorsqu'il s'agit d'identifier diverses cyberattaques. Ce cadre est principalement axé sur la détection des activités de logiciels malveillants et des charges utiles malveillantes, ce qui constitue une lacune significative dans la lutte contre d'autres formes d'attaques.
Un exemple concret concerne les attaques basées sur le Web, telles que l'injection SQL, le Cross-Site Scripting (XSS), divers types d'attaques par déni de service (DoS) et les attaques Zero-Day. Ces types d'attaques peuvent facilement passer entre les mailles du filet car ils ne suivent pas les modèles typiques que la chaîne d'élimination cybernétique est conçue pour détecter.
De plus, ce cadre ne parvient pas à tenir compte des attaques lancées par des personnes non autorisées exploitant des informations d'identification compromises.
Dans de tels scénarios, il existe une lacune flagrante, car ces attaques peuvent causer des dommages considérables tout en passant inaperçues en raison de la capacité de détection limitée de la chaîne d'élimination cybernétique.
#3. Manque de Flexibilité
Le cadre de la chaîne d'élimination cybernétique, principalement axé sur les logiciels malveillants et les attaques basées sur les charges utiles, manque de flexibilité.
Le modèle linéaire de la chaîne d'élimination cybernétique ne correspond pas à la nature dynamique des menaces modernes, ce qui le rend moins efficace.
De plus, il peine à s'adapter aux nouvelles techniques d'attaque et peut négliger des activités cruciales post-intrusion, ce qui suggère la nécessité d'adopter des approches de cybersécurité plus adaptables.
#4. Se Concentre Uniquement sur la Sécurité du Périmètre
Le modèle de la chaîne d'élimination cybernétique est souvent critiqué pour son orientation sur la sécurité périmétrique et la prévention des logiciels malveillants, ce qui devient un problème à mesure que les organisations abandonnent les réseaux traditionnels sur site pour adopter des solutions basées sur le cloud.
De plus, la croissance du travail à distance, des appareils personnels, de la technologie IoT et des applications avancées telles que l'automatisation des processus robotiques (RPA) a étendu la surface d'attaque de nombreuses entreprises.
Cette expansion signifie que les cybercriminels disposent de plus de points d'accès à exploiter, ce qui rend difficile la sécurisation de chaque point de terminaison par les entreprises, et démontre ainsi les limites du modèle dans un environnement de menaces en constante évolution.
Lire la suite : Comment le Maillage de Cybersécurité Aide dans la nouvelle ère de protection
Alternatives au Modèle de la Chaîne d'Élimination Cybernétique
Voici quelques alternatives au modèle de la chaîne d'élimination cybernétique que vous pouvez étudier pour choisir l'un des meilleurs cadres de cybersécurité pour votre entreprise.
#1. Cadre MITRE ATT&CK
Le Cadre MITRE ATT&CK décrit les tactiques, les techniques et les procédures utilisées par les attaquants. On peut le considérer comme un manuel de référence pour comprendre les cybermenaces. La chaîne d'élimination cybernétique se concentre uniquement sur les étapes d'une attaque, tandis qu'ATT&CK offre une vue détaillée. Il montre même ce que font les attaquants après leur intrusion, ce qui le rend plus exhaustif.
Les experts en sécurité privilégient souvent MITRE ATT&CK pour sa profondeur. Il s'avère utile tant pour l'attaque que pour la défense.
#2. Cadre de Cybersécurité du NIST
Le Cadre de Cybersécurité du NIST fournit des directives aux organisations pour gérer et atténuer les risques en matière de cybersécurité. Il met l'accent sur une approche proactive. Par comparaison, la chaîne d'élimination cybernétique se concentre sur la compréhension des actions des attaquants lors d'une violation.
Le cadre décrit cinq fonctions principales : identifier, protéger, détecter, répondre et récupérer. Ces étapes aident les organisations à comprendre et à gérer leurs risques en matière de cybersécurité.
La portée plus large du cadre NIST contribue à améliorer la posture globale de cybersécurité, tandis que la chaîne d'élimination cybernétique contribue principalement à analyser et à interrompre les séquences d'attaque.
En abordant la sécurité de manière globale, le cadre du NIST s'avère souvent plus efficace pour favoriser la résilience et l'amélioration continue.
Conclusion
La chaîne d'élimination cybernétique, lors de son lancement, a constitué un cadre de cybersécurité utile pour identifier et atténuer les menaces. Mais aujourd'hui, les cyberattaques sont devenues plus sophistiquées en raison de l'utilisation du cloud, de l'IoT et d'autres technologies collaboratives. Pire encore, les pirates informatiques commettent de plus en plus d'attaques basées sur le Web, telles que les injections SQL.
Ainsi, un cadre de sécurité moderne comme MITRE ATT&CK ou NIST offrira une protection plus efficace dans l'environnement de menaces en constante évolution d'aujourd'hui.
En outre, vous devez utiliser régulièrement des outils de simulation de cyberattaques pour évaluer la sécurité de votre réseau.