Cyber Kill Chain

Ein Einbruch in ein Firmennetzwerk passiert selten in einem einzigen Moment. Angreifer arbeiten sich in Etappen vor: erst sammeln sie Informationen, dann verschaffen sie sich Zugang, dann suchen sie im Netz nach dem, was sie eigentlich wollen. Die Cyber Kill Chain ist ein Modell, das diesen Ablauf in sieben klar benannte Schritte sortiert. Entwickelt hat es der Rüstungskonzern Lockheed Martin im Jahr 2011, nach dem Vorbild militärischer Planung. Der Grundgedanke: Ein Angriff ist eine Kette, und eine Kette reißt an ihrer schwächsten Stelle. Wer auch nur einen der sieben Schritte blockiert, verhindert den Schaden am Ende.

Warum Verteidiger in Ketten denken

Ohne ein solches Modell wirkt ein Angriff wie ein einziges großes Ereignis, gegen das man entweder geschützt ist oder nicht. Das führt zu einer Verteidigung, die alles auf die Außenmauer setzt. Sitzt der Angreifer erst einmal drin, ist niemand mehr vorbereitet. Die Kill Chain verschiebt den Blick: Es gibt nicht einen Moment der Abwehr, sondern sieben.

Das ändert auch die Rechnung für die Angreiferseite. Der Verteidiger muss nur an einer Stelle erfolgreich sein, der Angreifer an allen sieben. Große Datendiebstähle scheitern deshalb oft nicht am ersten Schritt, sondern erst spät, wenn ungewöhnlich große Datenmengen das Netzwerk verlassen. Genau dort setzen viele Sicherheitssysteme heute an.

In der Praxis dient das Modell außerdem als gemeinsame Sprache. Wenn ein Sicherheitsteam meldet, ein Angriff sei bei Schritt drei gestoppt worden, weiß jeder sofort, wie ernst die Lage war. Ohne solche Einordnung wäre jede Meldung nur ein diffuses Warnsignal.

Die sieben Etappen eines Einbruchs

Schritt eins ist die Aufklärung. Der Angreifer sammelt öffentlich zugängliche Informationen: Mitarbeiternamen, E-Mail-Adressen, eingesetzte Software. Vieles davon steht auf der Firmenwebsite oder in beruflichen Netzwerken. Schritt zwei ist die Bewaffnung: Der Angreifer baut sein Werkzeug, etwa ein präpariertes PDF-Dokument mit Schadsoftware darin.

Schritt drei ist die Zustellung, meist per E-Mail-Anhang oder manipuliertem Link. Schritt vier ist die Ausnutzung: Eine Sicherheitslücke im Programm des Opfers wird ausgelöst, sobald die Datei geöffnet wird. Schritt fünf ist die Installation, bei der sich das Schadprogramm dauerhaft im System einnistet. Es überlebt dann auch einen Neustart.

Schritt sechs heißt Command and Control: Der infizierte Rechner meldet sich bei einem Server des Angreifers und wartet auf Befehle. Erst Schritt sieben ist das eigentliche Ziel, etwa Daten kopieren oder Festplatten verschlüsseln. Zwischen Schritt fünf und sieben vergehen häufig Wochen oder Monate. Diese Zeitspanne ist die Chance der Verteidiger.

Von der Theorie zum Sicherheitsalltag

Wer Nachrichten über größere Hackerangriffe liest, stößt regelmäßig auf Begriffe aus diesem Modell. Wenn es heißt, Angreifer hätten sich monatelang unbemerkt im Netz bewegt, beschreibt das die Phase nach der Installation. Auch Produktbeschreibungen von Sicherheitsfirmen sind oft danach gegliedert. Ein E-Mail-Filter wirbt damit, Schritt drei zu stoppen, ein Netzwerkmonitor mit Schritt sechs.

Das Modell hat allerdings bekannte Schwächen, und die sollte man kennen. Es beschreibt vor allem Angriffe von außen mit Schadsoftware. Ein frustrierter Mitarbeiter, der Daten mitnimmt, taucht darin gar nicht auf. Auch gestohlene Passwörter passen schlecht ins Schema, weil dabei keine Sicherheitslücke ausgenutzt werden muss.

Deshalb arbeiten viele Sicherheitsteams heute zusätzlich mit MITRE ATT&CK, einer sehr viel feineren Sammlung konkret beobachteter Angriffstechniken. Die Kill Chain bleibt trotzdem verbreitet, weil sie mit sieben Schritten leicht zu merken ist. Sie eignet sich gut als Einstieg und als Gesprächsgrundlage mit Leuten außerhalb der IT-Abteilung. Für die Detailarbeit greift man dann zu den ausführlicheren Katalogen.