Angriffszyklus

Angriffszyklus ist ein Modell in der Informationssicherheit, das die Abfolge von Phasen beschreibt, die ein Angreifer typischerweise durchläuft, um ein Ziel zu kompromittieren. Es dient der Einordnung von Bedrohungen, der Analyse von Angriffswegen und der Planung von Abwehrmaßnahmen. Der Begriff wird sowohl in der Cybersecurity als auch in militärischen Kontexten verwendet, wobei sich der konkrete Ablauf je nach Anwendungsfeld leicht unterscheidet.

Typische Phasen im Angriffszyklus der Cybersicherheit umfassen Aufklärung über das Ziel, ersten Zugriff (Initial Access) durch Phishing, Exploits oder gestohlene Zugangsdaten, das Festlegen eines dauerhaften Zugriffs (Persistence), Privilegienerweiterung und laterale Bewegungen im Netzwerk, Erreichung der Zielsetzung (Datenexfiltration, Manipulation oder Zerstörung) sowie das Verbergen von Spuren und die Kommunikation mit Command-and-Control-Servern. Je nach Modell werden weitere Schritte wie Defense Evasion und Datenübertragung betont. Das Modell betont, dass Abwehrmaßnahmen in jeder Phase ansetzen müssen, um Angriffe frühzeitig zu erkennen und zu stoppen.

Bekannte Referenzmodelle sind der Cyber Kill Chain von Lockheed Martin, der die Phasen Reconnaissance, Weaponization, Delivery, Exploitation, Installation, Command and Control und Actions on Objectives zuordnet. In der Praxis wird der Angriffszyklus auch durch das MITRE ATT&CK-Framework ergänzt, das Taktiken und Techniken entsprechend den Phasen systematisiert. Unterschiede zwischen Modellen ergeben sich aus dem jeweiligen Fokus und dem eingesetzten Angriffsprofil. Aus defensiver Sicht helfen die Phasen, Bedrohungen zu erkennen, zu unterbrechen und entsprechend zu behandeln, etwa durch Netzsegmentierung, Patch-Management, Endpunktschutz, Logging sowie Incident-Response-Pläne.