Cyber Kill Chain vs. Mitre ATT& ^CK®: 5 wesentliche Unterschiede und Synergien

Was ist das Cyber Kill Chain Framework?

Das Cyber Kill Chain Framework ist ein Modell zum Verständnis und zur Beschreibung, wie Cyber-Angreifer vorgehen. Sie wurde von Lockheed Martin entwickelt und basiert auf einem militärischen Konzept, das als "Kill Chain" bekannt ist und die Struktur eines Angriffs von der ersten Aufklärung bis zum endgültigen Ziel beschreibt – sei es die Exfiltration, die Verweigerung der Verfügbarkeit, die reine Zerstörung oder eine Kombination aus beidem.

Das Cyber Kill Chain Framework unterteilt einen Cyberangriff in sieben Phasen:

1. Aufklärung
2. Bewaffnung
3. Lieferung
4. Ausbeutung
5. Installation
6. Führung und Kontrolle (C2)
7. Maßnahmen zur Zielerreichung

Das Framework bietet einen systematischen Ansatz zum Verständnis des Lebenszyklus eines Cyberangriffs. Durch die Abbildung der Phasen wird es einfacher, Bedrohungen in jeder Phase zu identifizieren und zu mindern. Jede Phase bietet Verteidigern die Möglichkeit, einen Angriff zu erkennen, zu verhindern oder zu unterbrechen.

Das Cyber Kill Chain Framework ist zwar ein leistungsstarkes Tool, weist jedoch auch Einschränkungen auf. Sein lineares, sequenzielles Modell spiegelt die komplexe, iterative und oft parallele Natur von Cyberangriffen möglicherweise nicht genau wider. Darüber hinaus konzentriert es sich tendenziell auf externe Bedrohungen und übersieht dabei oft Insider-Bedrohungen und Aktivitäten nach einem Angriff, die äußerst wichtige Bedrohungsarten darstellen.

Empfohlene Lektüre:UEBA (User and Entity Behavior Analytics): Vollständiger Leitfaden.

---

Was ist das MITRE ATT&CK Framework?

Das MITRE ATT&CK Framework ist eine Wissensdatenbank und ein Modell zum Verständnis des Verhaltens von Angreifern. Es wurde von der gemeinnützigen MITRE Corporation entwickelt und ursprünglich zur Unterstützung des US-Militärs konzipiert. Es deckt das gesamte Spektrum der von Angreifern eingesetzten Taktiken, Techniken und Verfahren ab – von der Aufklärung und dem ersten Zugriff bis hin zum Angriff.

Das ATT&CK-Framework geht über die bloße Abbildung der einzelnen Phasen eines Angriffs hinaus. Es bietet eine detaillierte Beschreibung der von den Angreifern in jeder Phase verwendeten Techniken sowie Strategien zur Schadensbegrenzung und Erkennungsmethoden. Es wird regelmäßig aktualisiert und erweitert und berücksichtigt dabei die neuesten Bedrohungsinformationen und Forschungsergebnisse.

Das ATT&CK-Framework ist äußerst detailliert und umfassend und bietet ein umfassendes Verständnis von Cyberbedrohungen. Es wird von globalen Sicherheitsteams häufig genutzt, um ihre Abwehrmaßnahmen zu verbessern, Fähigkeiten zur Bedrohungssuche zu entwickeln und ihre Reaktion auf Vorfälle zu optimieren.

---

Cyber Kill Chain vs. ATT&CK: Hauptunterschiede

Obwohl beide Frameworks wertvolle Einblicke in Cyberbedrohungen und -angriffe bieten, unterscheiden sie sich in mehreren wichtigen Bereichen.

1. Abstraktionsgrad

Die Cyber Kill Chain arbeitet auf einer hohen Ebene und ist bewusst vereinfacht. Jede Phase repräsentiert eine breite Kategorie von Angreiferaktivitäten, wie z. B. „Auslieferung“ oder „Ausnutzung“, ohne die konkrete Durchführung dieser Aktionen zu spezifizieren. Diese Abstraktion erleichtert die Kommunikation von Angriffskonzepten zwischen verschiedenen Teams, einschließlich nicht-technischer Stakeholder. Allerdings fehlen die Details, die erforderlich sind, um Protokolle, Warnmeldungen oder Telemetriedaten direkt spezifischen Angreiferverhaltensweisen zuzuordnen.

ATT&CK ist für den operativen Einsatz auf niedriger Ebene konzipiert. Jede Taktik (das „Warum“) wird in Techniken und oft auch in Untertechniken (das „Wie“) unterteilt. Anstelle einer allgemeinen „Exploitationsphase“ definiert ATT&CK beispielsweise Dutzende von Möglichkeiten der Ausnutzung, die jeweils mit beobachtbarer Systemaktivität verknüpft sind. Dieser Detaillierungsgrad ermöglicht es Sicherheitsteams, reale Vorfälle bekannten Verhaltensweisen zuzuordnen, Erkennungen zu validieren und Abwehrmaßnahmen auf Basis tatsächlich angewandter Techniken zu priorisieren.

2. Struktur und Fluss

Die Cyber Kill Chain basiert auf einem strikt linearen Modell. Sie geht davon aus, dass Angreifer schrittweise von der Aufklärung bis zum finalen Angriff vorgehen, wobei jede Phase auf der vorherigen aufbaut. Diese Struktur ist leicht nachvollziehbar und eignet sich gut zur Erklärung traditioneller Angriffsszenarien. Sie berücksichtigt jedoch nicht, dass Angreifer Schritte überspringen, Phasen wiederholen oder parallel auf mehreren Systemen agieren.

ATT&CK verwendet eine Matrixstruktur, die nach Taktiken wie Erstzugriff, Ausführung, Persistenz und lateraler Bewegung organisiert ist. Es gibt keinen festgelegten Pfad durch die Matrix. Angreifer können an verschiedenen Punkten einsteigen, Techniken wiederverwenden oder je nach Bedarf zwischen verschiedenen Taktiken wechseln. Dieses flexible Modell spiegelt reale Operationen wider, in denen Angreifer sich an Verteidigungsmaßnahmen, verfügbare Zugriffsrechte und sich ändernde Ziele anpassen. Es unterstützt zudem iterative Analysen, bei denen Verteidiger Aktivitäten kontinuierlich erfassen, anstatt sie in eine vordefinierte Abfolge zu zwingen.

3. Abdeckung und Realismus

Die Cyber Kill Chain legt den Schwerpunkt auf Angriffe auf den Netzwerkperimeter und frühe Eindringversuche. Ihre Stärke liegt in der Beschreibung, wie ein Angreifer Zugang erlangt und sich festsetzt. Sie bietet jedoch nur begrenzten Einblick in die Folgen nach der Kompromittierung, wie etwa den Missbrauch von Zugangsdaten, interne Aufklärung oder langfristige Persistenz. Auch Insiderbedrohungen oder Lieferkettenszenarien werden nicht explizit modelliert.

ATT&CK bietet eine wesentlich umfassendere Abdeckung des gesamten Angriffslebenszyklus. Es beinhaltet detaillierte Taktiken für das Verhalten nach einer Kompromittierung, wie etwa Rechteausweitung, Umgehung von Sicherheitsmaßnahmen, Zugriff auf Anmeldeinformationen, Aufdeckung und laterale Bewegung. Zudem berücksichtigt es verschiedene Umgebungen, darunter Unternehmens-, Cloud-, Mobil- und industrielle Steuerungssysteme. Diese Breite macht es realistischer für moderne Umgebungen, in denen Angriffe oft mehrere Phasen, Tools und Zugriffsmethoden über längere Zeiträume umfassen.

4. Zweck von Sicherheitsprogrammen

Die Cyber Kill Chain wird häufig für die strategische Planung und die Entwicklung übergeordneter Verteidigungskonzepte eingesetzt. Sicherheitsteams nutzen sie, um zu identifizieren, wo Kontrollmaßnahmen erforderlich sind, beispielsweise die Blockierung von Übertragungsmechanismen oder die Erkennung von Befehls- und Kontrollverkehr. Sie ist auch für Schulungen und Sensibilisierungsmaßnahmen hilfreich und unterstützt Teams dabei, den allgemeinen Ablauf von Angriffen zu verstehen und Interventionsmöglichkeiten zu erkennen.

ATT&CK wird für den praktischen Einsatz im Bereich der Sicherheitsoperationen verwendet. Erkennungsingenieure ordnen Regeln und Warnmeldungen ATT&CK-Techniken zu, um eine umfassende Abdeckung zu gewährleisten. Bedrohungsanalysten nutzen es, um Untersuchungen zu steuern und systemübergreifend nach bestimmten Verhaltensweisen zu suchen. Red Teams verwenden es, um realistische Angreiferaktivitäten zu simulieren, während Blue Teams es nutzen, um Erkennungslücken zu messen und die Reaktionsfähigkeit zu verbessern. Da ATT&CK kontinuierlich mit Informationen aus der Praxis aktualisiert wird, dient es auch als gemeinsame Sprache für Tools, Teams und Organisationen zur Beschreibung und zum Vergleich von Bedrohungen.

5. Akzeptanz und Beliebtheit in der Branche

Die Cyber Kill Chain ist nach wie vor ein bekanntes und weit verbreitetes Modell, insbesondere zur Erklärung von Angriffsphasen und zum Aufbau grundlegender Sicherheitsstrategien. Ihre Anwendung ist jedoch in der modernen operativen Sicherheit weniger dominant, was unter anderem auf ihre Grenzen bei der Bewältigung komplexer, nichtlinearer Angriffe zurückzuführen ist.

ATT&CK hat sich zum De-facto-Industriestandard für die Modellierung von Angreiferverhalten entwickelt. Es findet breite Anwendung in den Bereichen Bedrohungsanalyse, Erkennungsentwicklung und Reaktion auf Sicherheitsvorfälle.

Aktuelle Forschungsergebnisse unterstreichen die starke Akzeptanz:

• Eine Überprüfung von 417 akademischen und industriellen Studien ergab, dass ATT&CK breit über die Bereiche und Methoden der Cybersicherheit integriert ist.
• Es gilt unter Praktikern als das beliebteste Rahmenwerk, obwohl in der Wissenschaft weiterhin andere Modelle verbreitet sind.
• Das Framework wird von einer globalen Gemeinschaft unterstützt, mit Mitwirkenden und Nutzern aus über 200 Ländern, was seine Rolle als gemeinsamer Standard stärkt.

In der Praxis nutzen viele Organisationen mittlerweile beide Frameworks gemeinsam: die Cyber Kill Chain für die Darstellung von Zusammenhängen auf hoher Ebene und ATT&CK für detaillierte, operative Analysen.

---

Synergien zwischen der Cyber Kill Chain und dem ATT&CK-Framework

Sowohl die Cyber Kill Chain als auch das MITRE ATT&CK Framework tragen zum Verständnis und Umgang mit Cyberbedrohungen bei, bieten aber einzigartige Perspektiven. Die Kombination dieser beiden Frameworks liefert ein umfassendes Bild der Bedrohungslandschaft. Die Cyber Kill Chain kann genau bestimmen, an welcher Stelle des Angriffsprozesses eine Bedrohung identifiziert wird, während ATT&CK Aufschluss über die in jeder Phase eingesetzten spezifischen Taktiken und Techniken gibt.

Hier sind einige Möglichkeiten, wie Unternehmen von der Synergie zwischen Cyber Kill Chain und ATT&CK profitieren können.

Bestimmen Sie die wichtigsten Anwendungsfälle

Um die beiden Frameworks effektiv zu kombinieren, müssen Sie verstehen, wie Sie sie in Ihrem individuellen Geschäftskontext einsetzen. Sie benötigen ein solides Verständnis Ihrer Geschäftsabläufe, einschließlich der technologischen Infrastruktur, der Datenbestände, kritischer Geschäftsprozesse und potenzieller Schwachstellen. Auf dieser Grundlage können Sie die Schlüsselbereiche identifizieren, in denen diese Frameworks einen Mehrwert bieten.

Wenn Ihr Unternehmen beispielsweise stark auf Cloud-basierte Datenspeicherung angewiesen ist, könnte der Anwendungsfall für den Einsatz dieser Frameworks darin bestehen, potenzielle Cloud-basierte Angriffsvektoren zu identifizieren und entsprechende Abwehrmaßnahmen zu entwickeln. Ähnlich verhält es sich mit sensiblen Kundendaten. Hier könnte der Anwendungsfall darin bestehen, potenzielle Szenarien für Datenschutzverletzungen zu verstehen und zu entschärfen.

Für jeden Anwendungsfall kann Cyber Kill Chain Ihnen dabei helfen, ein „klassisches“ Angriffsmuster zu modellieren, während ATT&CK bei der Vorbereitung auf bestimmte, relevante Bedrohungsvektoren helfen kann.

Ordnen Sie Protokollquellen den Geschäftsrisiken zu

Nachdem Sie die wichtigsten Anwendungsfälle identifiziert haben, besteht der nächste Schritt darin, Ihre Protokollquellen den Geschäftsrisiken zuzuordnen. Dazu müssen Sie die Datenquellen identifizieren, die Einblicke in potenzielle Bedrohungen liefern, und diese den Bereichen mit dem höchsten Geschäftsrisiko zuordnen.

Zu den Protokollquellen können Netzwerkprotokolle, Systemprotokolle, Anwendungsprotokolle und Sicherheitsprotokolle gehören. Diese Protokolle können wertvolle Einblicke in verdächtige Aktivitäten, potenzielle Schwachstellen und laufende Angriffe liefern.

Überprüfen Sie die Abdeckung in Schlüsselbereichen

Nachdem Sie die Protokollquellen den Geschäftsrisiken gegenübergestellt haben, ist es an der Zeit, die Abdeckung der Cyber Kill Chain und ATT&CK-Frameworks für Ihre wichtigsten Geschäftsrisiken zu überprüfen. Dabei geht es darum, zu bewerten, wie gut diese Frameworks dazu beitragen können, die identifizierten potenziellen Bedrohungen zu identifizieren, zu verhindern und zu mindern.

Der Überprüfungsprozess sollte die Vollständigkeit der Abdeckung, die Tiefe der bereitgestellten Erkenntnisse und die Anwendbarkeit jedes Frameworks auf den spezifischen Geschäftskontext berücksichtigen. Wichtig ist auch, die einfache Implementierung und die potenziellen Auswirkungen auf den Geschäftsbetrieb zu berücksichtigen. Basierend auf dieser Analyse können Sie entscheiden, welches Framework für welches Geschäftsrisiko verwendet werden soll, und auch Lücken identifizieren, bei denen keines der Frameworks ein geeignetes Bedrohungsmodell bietet.

Berichten Sie nach oben über Ihre Ergebnisse

Nachdem Sie die Cyber Kill Chain und ATT&CK-Frameworks implementiert und deren Abdeckung bewertet haben, ist es wichtig, über Ihre Ergebnisse zu berichten. Dazu gehört auch, die Ergebnisse Ihrer Bemühungen an das höhere Management und die Stakeholder zu kommunizieren.

Der Bericht sollte die wichtigsten Ergebnisse, die ergriffenen Maßnahmen und die Auswirkungen auf das Geschäftsrisiko hervorheben. Er sollte außerdem Empfehlungen für zukünftige Maßnahmen auf Grundlage der gewonnenen Erkenntnisse enthalten.

Ziel dieses Berichts ist es nicht nur, das Management über den Stand der Cyberabwehr zu informieren, sondern auch dessen Zustimmung für zukünftige Initiativen zu sichern. Dies kann dazu beitragen, dass ausreichende Ressourcen für die Implementierung und angemessene Nutzung von Bedrohungsrahmen bereitgestellt werden.

---

Exabeam unterstützt das ATT&CK-Framework

Die Exabeam Security Operations Platform–Exabeam Fusion, Exabeam Sicherheitsuntersuchung, Exabeam Security Analytics, Exabeam SIEM und Exabeam Security Log Management– ordnen Angriffe, Warnungen und zentrale Anwendungsfälle dem ATT&CK-Framework zu.

Organisationen können ihre benutzerdefinierten Korrelationsregeln schreiben, testen, veröffentlichen und überwachen, um sich auf die kritischsten Geschäftseinheiten und -ressourcen zu konzentrieren. Dazu gehört auch die Definition einer höheren Kritikalität oder die spezifische Einbeziehung von Bedingungen aus Threat Intelligence Service sowie die Zuweisung spezifischer ATT&CK-Taktiken, -Techniken und -Verfahren (TTPs).

Die in jedem Produkt enthaltene Exabeam Security Operations Platform verwendet das ATT&CK-Framework als kritische Linse, um die Sichtbarkeit Ihrer Sicherheitslage zu verbessern.