La cadena cibernética asesina y su papel en la ciberseguridad explicados en 5 minutos o menos

Cyber Kill Chain es un modelo de seguridad desarrollado por Lockheed Martin en 2011 que describe los pasos de un ciberataque, lo que ayuda a comprender, identificar y defenderse de las amenazas.

Si tiene curiosidad, Lockheed Martin es una empresa aeroespacial, de defensa, armamento y seguridad de ámbito mundial.

Y la Cyber Kill Chain (CKC) es uno de los modelos de seguridad populares a los que hacen referencia los expertos en ciberseguridad para formar una estrategia y defender a las organizaciones contra los ciberataques.

¿Por qué es importante la Cyber Kill Chain en ciberseguridad?

Seamos sinceros; la ciberseguridad no es tan sencillo. A veces puede parecer sencillo y convincente cuando se dan a los usuarios finales los consejos que necesitan para mantenerse a salvo en Internet.

Sin embargo, a la hora de enfrentarse a un ciberataque real, las organizaciones necesitan saber muchas cosas técnicas al respecto. No se puede esperar que una organización se defienda de los ciberataques con un par de consejos de seguridad, ¿verdad?

Así que se necesita un marco (o un modelo) que siente las bases para comprender los ciberataques y defenderse de ellos en consecuencia.

Cyber Kill Chain es un modelo de seguridad tradicional que sirve de base para ayudar a comprender las etapas de un ciberataque. Incluye siete etapas, que analizaremos a continuación.

Papel de la Cyber Kill Chain en la ciberseguridad

No sólo se limita a proporcionar información sobre un ciberataque, Cyber Kill Chain ayuda a las organizaciones a conocer las formas de detectar a los atacantes, impedir el acceso de usuarios no autorizados, mitigar un ataque activo y detener a un atacante dentro de la red.

Esto ayuda a las organizaciones y a los expertos en ciberseguridad a formar una estrategia que les sea de ayuda.

Cyber Kill Chain por sí sola no puede garantizarlo todo, varias cosas importan fuera de la red o internamente en una organización, y este modelo no incluye nada de eso.

Etapas de Cyber Kill Chain

El marco CKC consta de siete etapas para describir un ciberataque. Son las siguientes

1. Reconocimiento
2. Armamento
3. Entrega
4. Explotación
5. Instalación
6. Mando y control
7. Acción

#1. Reconocimiento

El reconocimiento es la primera fase de la Cyber Kill Chain, que consiste en la recopilación de información.

El atacante recopilará información sobre los puntos de entrada y los puntos débiles de una red y buscará vulnerabilidades. No sólo se limita a identificarlas, sino que recopila direcciones de correo electrónico, direcciones y otros datos relacionados con el software que podrían ayudar a idear estrategias maliciosas para llevar a cabo el ataque.

Cuantos más detalles tenga el atacante, más influyente puede ser el ataque. Esta fase de vigilancia del ataque puede ser tanto offline como online. Por lo tanto, puede que en esta fase no sea posible tener una corazonada sobre un actor malicioso.

Para hacer frente a esta fase, las organizaciones y sus empleados deben centrarse en la privacidad, ya se trate de mantener la ubicación física restringida a los usuarios autorizados o de pedir a todos los usuarios asociados que no compartan información personal sensible en línea.

Por ejemplo, todos deberían utilizar herramientas de privacidad para proteger su identidad en línea.

#2. Armatización

Aquí, el actor malicioso fabrica el arma, es decir, el malware o la herramienta que utilizará en el ciberataque.

A veces utilizan herramientas ya existentes o las modifican en función del objetivo para preparar la entrega, que es el siguiente paso.

El arma creada para el ataque dependerá del objetivo del actor malicioso. Por ejemplo, algunos prefieren interrumpir los servicios, otros quieren robar datos y otros quieren pedir un rescate por retener datos sensibles.

El arma puede ser cualquier cosa que se alinee con ese objetivo.

#3. Entrega

Esta es una de las etapas cruciales donde comienza la suerte del atacante.

Si la entrega tiene éxito, el malware se introduce en el interior y comienza su trabajo. Y, si falla, todas las estrategias para el ataque llegan a su fin.

El atacante utiliza herramientas o medios para entregar el malware. Por ejemplo, archivos adjuntos maliciosos en correos electrónicos, correos electrónicos de phishing para entregar credenciales, un mensaje de texto que engañe a un usuario para obtener su autorización, y similares.

Por supuesto, el actor malicioso utiliza cualquiera de las informaciones de la fase de vigilancia para convencer al objetivo de un mensaje o enlace, de modo que haga clic en él sin pensárselo dos veces.

Si la organización y sus empleados son conscientes de los ataques de phishing y otros ciberataques comunes, será difícil que la entrega tenga éxito.

#4. Explotación

El atacante conoce los fallos y ha entrado en el sistema de la víctima.

Ahora, explotará la vulnerabilidad conocida para poder ejecutar el código malicioso entregado. En este proceso, el atacante también podrá obtener más información sobre el sistema y descubrir los puntos débiles.

Cualquier sistema vulnerable conectado a la red tendrá posibilidades de verse comprometido.

#5. Instalación

Una vez que el atacante haya escaneado todos los puntos débiles, se centrará en instalar el malware e introducir otros códigos maliciosos para explotar otras cosas desconocidas inicialmente.

En otras palabras, la infiltración se completa con esta fase en la que el atacante se adentra en la red comprometida.

#6. Mando y control

Una vez completada la infiltración, es el momento de que el actor malicioso tome el control del sistema o la red comprometidos.

Podrían optar por rastrear y supervisar la información de forma remota o empezar a causar estragos para interrumpir el sistema y los servicios. Esto podría ser en forma de ataques DDoS o añadiendo una puerta trasera que les permita entrar en el sistema a su conveniencia sin que nadie se dé cuenta.

#7. Acción sobre los objetivos

Según el objetivo del ataque, el actor malicioso ejecuta el golpe final para cumplir el objetivo.

Podrían cifrar los datos y pedir un rescate por ellos, infectar el sistema para propagar malware, interrumpir los servicios o robar datos para filtrarlos o modificarlos. Las acciones incluyen muchas posibilidades similares.

¿Cómo ayuda la cadena cibernética asesina a protegerse contra los ataques?

Comprender cómo se introducen los atacantes en su red y sus sistemas ayuda a las organizaciones y a sus empleados a defenderse contra los ciberataques.

Por ejemplo, con Cyber Kill Chain se comprende que las vulnerabilidades de una red pueden ayudar al atacante a infiltrarse rápidamente. Por lo tanto, las organizaciones pueden considerar el uso de herramientas de detección y respuesta de puntos finales para añadir técnicas de detección temprana a su estrategia de ciberseguridad.

Del mismo modo, pueden optar por utilizar un cortafuegos para proteger la infraestructura de la nube y servicios de protección DDoS basados en la nube para intensificar el juego de la seguridad.

No hay que olvidar que las VPN también pueden utilizarse para proteger las cosas en una empresa.

Las organizaciones pueden utilizar eficazmente el modelo Cyber Kill Chain eligiendo soluciones que aborden cada etapa de un ciberataque.

¿Es suficiente la Cyber Kill Chain?

Sí y no.

Como he mencionado anteriormente, Cyber Kill Chain sólo aborda algunos de los aspectos básicos de un ciberataque. Y, aunque una organización se defienda contra todo eso, ya es una gran victoria.

Aunque algunos expertos en ciberseguridad han ampliado el modelo con una 8ª etapa.

La 8ª etapa implica la Monetización:

Esta fase explica cómo los atacantes obtienen dinero de un ataque exitoso. Ya se trate de la petición de un rescate o del uso de criptodivisas, la organización también debe abrocharse el cinturón para manejar estas situaciones.

En general, el modelo se considera algo anticuado a medida que avanza la innovación en el mundo digital. Los ciberataques son ahora más complejos, aunque los fundamentos sigan siendo los mismos. Por ejemplo, el marco CKC no menciona todos los tipos de ataques, sino que se limita al malware.

Además, no se ocupa de las amenazas internas, teniendo en cuenta que un empleado deshonesto también puede afectar a la organización.

Teniendo en cuenta que los ciberataques son cada vez más complejos con la nube, y la inteligencia artificial, en la mezcla, también se puede hacer referencia a otros modelos, como MITRE ATT&CK y Unified Kill Chain.

También puede explorar las mejores herramientas de simulación de brechas y ataques para prepararse para los ciberataques.