Kill-Chain

Ein Angriff auf ein fremdes Computersystem passiert nicht in einem einzigen Moment. Er läuft in mehreren Schritten ab, die aufeinander aufbauen. Erst sucht sich jemand ein Ziel aus, dann verschafft er sich Zugang, dann richtet er Schaden an. Die Kill-Chain ist der Fachbegriff für diese Kette von Schritten. Der Name stammt ursprünglich aus dem Militär, wo er den Weg vom Erkennen eines Ziels bis zum Beschuss beschreibt. In der Computersicherheit wurde die Idee übernommen, um Angriffe besser zu verstehen und zu stoppen.

Warum eine Kette leichter zu brechen ist als eine Mauer

Der entscheidende Gedanke hinter dem Modell ist einfach: Der Angreifer muss jeden Schritt schaffen, der Verteidiger muss nur einen einzigen verhindern. Wenn eine gefälschte E-Mail schon im Spam-Filter hängen bleibt, spielt es keine Rolle, wie ausgeklügelt die Schadsoftware im Anhang war. Die Kette ist an dieser Stelle gerissen.

Das verändert die Denkweise in Sicherheitsabteilungen. Früher konzentrierte man sich vor allem darauf, Eindringlinge draußen zu halten. Das ist aber ein Alles-oder-nichts-Ansatz: Wer einmal drin ist, hat gewonnen. Mit dem Kill-Chain-Modell verteilt man die Verteidigung stattdessen über den gesamten Ablauf. Selbst wenn der erste Schutzwall fällt, gibt es weitere Chancen, den Angriff zu bemerken.

Nützlich ist das Modell auch nach einem Vorfall. Ermittler ordnen die gefundenen Spuren den einzelnen Schritten zu. So sehen sie, wie weit der Angreifer wirklich gekommen ist. Und sie erkennen, an welcher Stelle die eigene Verteidigung versagt hat.

Die typischen Stufen eines Angriffs

Die bekannteste Fassung stammt vom Rüstungskonzern Lockheed Martin und nennt sieben Stufen. Am Anfang steht die Aufklärung: Der Angreifer sammelt öffentlich verfügbare Informationen über sein Ziel, etwa Namen und E-Mail-Adressen von Mitarbeitern aus sozialen Netzwerken. Danach baut er sein Werkzeug, meist eine harmlos aussehende Datei mit verstecktem Schadcode. Dieses Werkzeug wird zugestellt, klassisch als E-Mail-Anhang oder über einen präparierten Link.

Öffnet das Opfer die Datei, nutzt der Schadcode eine Sicherheitslücke im Programm aus und startet sich selbst. Anschließend installiert er sich dauerhaft auf dem Rechner, damit er einen Neustart übersteht. Nun meldet er sich beim Angreifer zurück und wartet auf Befehle. Erst im letzten Schritt passiert das eigentliche Ziel: Daten werden kopiert, verschlüsselt oder gelöscht.

Das Modell hat allerdings eine bekannte Schwäche. Es geht von einem Angreifer aus, der von außen kommt und sich stur von Stufe zu Stufe vorarbeitet. Echte Angriffe springen oft hin und her oder starten mit gestohlenen Passwörtern mitten in der Kette. Deshalb arbeiten viele Fachleute heute zusätzlich mit MITRE ATT&CK, einer offenen Sammlung, die beobachtete Angreifermethoden viel feiner auflistet.

Kill-Chains in Sicherheitsprodukten und Schlagzeilen

Der Begriff taucht regelmäßig in Berichten über größere Hackerangriffe auf. Wenn es heißt, ein Angriff sei früh in der Kill-Chain gestoppt worden, bedeutet das: Es ist kein echter Schaden entstanden. Wurde er spät entdeckt, waren die Daten meist schon abgeflossen. Auch Behörden wie das deutsche Bundesamt für Sicherheit in der Informationstechnik nutzen diese Sprache in ihren Lageberichten.

In der Produktwelt ist die Kill-Chain ein festes Verkaufsargument. Überwachungssoftware für Firmennetze zeigt einen Vorfall oft als Zeitleiste mit den erkannten Stufen an. Ein Sicherheitsteam sieht dadurch auf einen Blick, ob es sich um einen abgewehrten Klick auf eine Phishing-Mail handelt oder um einen Angreifer, der bereits Befehle ausführt.

Interessant wird das Thema zusätzlich durch Künstliche Intelligenz. Sprachmodelle können täuschend echte Phishing-Mails in fehlerfreiem Deutsch schreiben und verbilligen damit die frühen Stufen der Kette erheblich. Auf der anderen Seite werten lernende Systeme riesige Mengen an Protokolldaten aus, um verdächtige Muster früher zu erkennen. Beide Seiten arbeiten also an derselben Kette, nur mit umgekehrtem Ziel.