Attackkedjan

Attackkedjan, eller attack chain, är en modell inom cybersäkerhet som beskriver den sekvens av handlingar som en angripare oftast genomför för att uppnå intrång och få kontroll över ett system eller stjäla data. Modellen används inom hotmodellering, incidentrespons och försvarsplanering för att analysera hur ett attackerförlopp kan delas upp i hanterbara steg.

Vanliga steg är rekognosering, verktygsförberedelse, leverans, utnyttjande, installation, kommando- och kontroll samt åtgärder mot målet. I rekognoseringen samlas information om måltavlan; verktygsförberedelse innebär att verktyg eller kod förbereds; leveransen sker genom vektorer som phishing eller skadlig bifogad fil; utnyttjande utnyttjar en sårbarhet; installation etablerar närvaro i målsystemet; C2 gör det möjligt för angriparen att kontrollera systemet och realisera handlingar mot målet. Olika modeller varierar i antalet faser och hur de kopplas ihop. Lockheed Martins Cyber Kill Chain är en välkänd referensmodell, medan MITRE ATT&CK-ramverket tillhandahåller en bred kunskapsbas över taktiker och tekniker som angripare kan använda i olika faser.

Användningen av attackkedjan är att stödja risk- och försvarsarbete: kartlägga svagheter, konstruera detektioner, prioritera åtgärder och träna försvarsreaktioner genom övningar och red team. En vanlig kritik är att kedjan är förenklad och ofta linjär; verkliga attacker kan vara icke-linjära och parallella. Därför används ofta bredare ramverk och kontinuerlig övervakning samt försvarsåtgärder som segmentering, MFA och patchhantering.

Se även: MITRE ATT&CK, Cyber Kill Chain, incidenthantering.