# Kill chain (sécurité informatique)

Le principe de kill chain (chaîne de frappe) désigne dans le domaine de la sécurité des systèmes d'information une méthode de modélisation des procédés d'intrusion sur un réseau informatique.

## La kill chain traditionnelle

Des informaticiens de la société Lockheed Martin ont décrit en 2011 un nouveau cadre ou modèle de « kill chain d'intrusion » pour défendre les réseaux informatiques en 2011. Selon ce modèle, les attaques peuvent être découpées en phases et peuvent être perturbées grâce à des contrôles établis à chaque étape. Depuis, le modèle de « cyber kill chain » a été adopté par les organisations de sécurité des données pour définir les phases des cyberattaques.
La « kill chain d'intrusion » décrit les phases d'une cyberattaque, de la reconnaissance à l'exfiltration de données. Celle-ci peut également être utilisée comme outil de gestion, afin d'améliorer en permanence la défense du réseau. Selon Lockheed Martin, les menaces doivent passer par plusieurs phases du modèle, parmi lesquelles :
* Reconnaissance : l'attaquant sélectionne la cible, la recherche et tente d'identifier les vulnérabilités du réseau cible.
* Armement : l'attaquant crée un logiciel malveillant, comme un virus ou un ver, lui permettant d'accéder à distance à la cible en exploitant une ou plusieurs vulnérabilités du système.
* Livraison: l'attaquant transmet l'arme à la cible (via des pièces jointes de courrier électronique, des sites Web ou des clés USB par exemple)
* Exploitation : le code du logiciel malveillant se déclenche et agit sur le réseau cible pour exploiter la vulnérabilité identifiée.
* Installation : le logiciel malveillant installe un point d'accès (une porte dérobée) utilisable par un attaquant externe.
* Commandement et contrôle : le logiciel malveillant offre à l'attaquant un accès permanent au réseau cible.
* Actions sur l'objectif : l'attaquant prend des mesures pour atteindre ses objectifs, tels que l'exfiltration de données, la destruction de données ou le chiffrement contre rançon.
Des moyens de défense peuvent être mis en place pour contrer le déroulement présenté ci-dessus :
* Détecter : déterminer si un attaquant fouille
* Refuser : empêcher la divulgation d'informations et l'accès non-autorisé
* Interrompre : arrêter ou modifier le trafic sortant (vers l'attaquant)
* Dégrader : contre-attaquer face au commandement et contrôle pris par l'attaquant
* Tromper : interférer avec le commandement et le contrôle pris par l'attaquant
* Contenir : modifier la segmentation du réseau

### Modèles alternatifs de kill chain

Différentes organisations ont construit leurs propres kill chains pour essayer de modéliser différentes menaces. FireEye propose un modèle linéaire, similaire à celui proposé par Lockheed Martin. Dans la kill chain de FireEye, la persistance des menaces est soulignée : ce modèle souligne qu'une menace ne s'arrête pas après un cycle.
* Reconnaissance
* Intrusion initiale dans le réseau
* Établissement d'une porte dérobée dans le réseau
* Obtention d'identifiants d'utilisateurs
* Installation de programmes utilitaires divers
* Élévation des privilèges / mouvement latéral / exfiltration de données
* Maintien dans le système cible
MITRE tient à jour un modèle de kill chain connu sous le nom d'« ATT&CK ». Celui-ci modélise les tactiques, les techniques et les procédures utilisées par les acteurs malveillants et constitue une ressource utile pour les équipes rouges et bleues . Les pentesters peuvent imiter ce comportement lors d'exercices imitant des scénarios réels, afin d'aider leurs clients à déterminer l'efficacité de leurs mesures défensives. Le framework ATT&CK comporte 4 matrices principales : PRE_ATT&CK, Enterprise, Mobile et ICS. L'Enterprise Matrix a des catégories pour Windows, macOS, Linux et le Cloud. Les catégories Enterprise Windows sont les suivantes :
* Reconnaissance - Le recueil d'informations par l'attaquant qui pourront être utilisées
* Développement de ressources - Recueil et mise en place de ressources qui pourront être utilisées dans les autres phases du cycle
* Accès initial - Intrusion dans le réseau attaqué
* Exécution - Exécution de code sur un système attaqué, local ou distant
* Persistance - Maintien dans la durée d'une présence sur le système attaqué
* Élévation des privilèges - Obtention d'un niveau de privilège plus élevé
* Évasion de la défense - Échapper à la détection ou aux systèmes de sécurité
* Accès authentifié - Utilisation d'informations d'identification légitimes pour accéder au système
* Découverte - Acquisition post-compromission d'une connaissance interne du système
* Mouvement latéral - Mouvement d'un système à un autre au sein du réseau cible
* Collecte - Processus de collecte d'informations d’intérêt pour l'attaquant, telles que des fichiers, avant exfiltration
* Commandement et contrôle - Communication avec les systèmes contrôlés par l'attaquant au sein du réseau cible
* Exfiltration - Extraction des informations collectées, d’intérêt pour l'attaquant et sensibles pour le système cible
* Impact - Perturbation des processus du système cible (les processus commerciaux et opérationnels de l'organisation ciblée)

### Critiques de la kill chain

Parmi les critiques du modèle de kill chain de Lockheed Martin en tant qu'outil d'évaluation et de prévention des menaces, on note :
* le fait que les premières phases se déroulent en dehors du réseau cible, ce qui rend difficile l'identification ou la défense contre les actions dans ces phases.
* le fait que cette méthodologie est censée renforcer les stratégies défensives traditionnelles, basées sur le périmètre (modèle de la «forteresse» plutôt que défense dite en profondeur) ainsi que la prévention des malwares.
* le fait que la kill chain traditionnelle est inadaptée pour la modélisation de menaces internes.

## La kill chain unifiée

Une version unifiée de la kill chain a été développée afin de surmonter les critiques émises à l'encontre de la kill chain traditionnelle, en unissant et en étendant la kill chain de Lockheed Martin et le modèle ATT&CK de MITRE. La kill chain unifiée est un arrangement ordonné de 18 phases d'attaque uniques, couvrant l'ensemble des activités se produisant à l'extérieur et au sein du réseau cible. En tant que telle, la kill chain unifiée améliore les limites de la portée de la kill chain traditionnelle et la nature agnostique des tactiques dans le modèle ATT&CK. Le modèle unifié peut être utilisé pour analyser, comparer et se défendre contre les cyberattaques complexes menées par des Advanced Persistent Threats (APT).