Kill Chain
Aus Wikikama
Kill Chain – Die Stufen eines Cyberangriffs verstehen und stoppen
Einführung: Die Kill Chain ist ein Konzept aus der IT-Sicherheit, das die typischen Phasen eines Cyberangriffs beschreibt. Es hilft zu verstehen, wie Angreifer:innen vorgehen – von der Vorbereitung bis zur Ausnutzung eines Systems. Ursprünglich stammt der Begriff aus dem Militär, wurde aber von Sicherheitsfirmen wie Lockheed Martin für die digitale Welt angepasst. Wer die Kill Chain kennt, kann Schwachstellen früher erkennen und gezielter gegen Angriffe vorgehen.
Merkmale / Typische Formen
- Aufklärung (Reconnaissance): Zielgerichtetes Sammeln von Informationen über Personen, Unternehmen oder technische Systeme.
- Bewaffnung (Weaponization): Erstellung des Angriffs durch Kombination von Schadcode mit z. B. einem Phishing-Anhang.
- Lieferung (Delivery): Verbreitung des Schadcodes über E-Mail, Webseiten oder infizierte USB-Sticks.
- Ausnutzung (Exploitation): Ausnutzen von Schwachstellen, um Kontrolle über ein System zu erlangen.
- Installation: Installation von Schadsoftware, häufig als Trojaner oder Dropper-Malware.
- Kontrollzugriff (Command & Control): Herstellung einer Fernverbindung zum infizierten System.
- Aktion (Actions on Objectives): Durchführung des eigentlichen Angriffs: Datendiebstahl, Ransomware, Sabotage.
Beispiele aus der Praxis
- Ein gezielter Spear-Phishing-Angriff auf eine Buchhaltungsabteilung beginnt mit einer überzeugend gefälschten E-Mail, die ein Makro-verseuchtes Dokument enthält.
- Eine bekannte Sicherheitslücke in einer Software wird über Wochen hinweg ausgenutzt, um unbemerkt Daten zu exfiltrieren.
Folgen / Auswirkungen
- Effektive Angriffe: Angreifer:innen nutzen systematisch Schwächen in IT-Strukturen aus.
- Lange unentdeckt: Durch die gestufte Vorgehensweise bleiben Attacken oft lange verborgen.
- Hoher Schaden: Datenverlust, Reputationsschäden und Betriebsunterbrechungen sind häufige Folgen.
Schutz & Empfehlungen
- Früherkennung: Systeme wie Intrusion Detection Systems und Threat Intelligence können erste Anzeichen erkennen.
- Aufklärung: Schulungen zu Phishing und Social Engineering sensibilisieren Mitarbeiter:innen.
- Technische Maßnahmen: Patchmanagement, Netzwerksegmentierung und Zugriffsmanagement verhindern das Fortschreiten von Angriffen.
Häufige Irrtümer / Missverständnisse
- „Kill Chain betrifft nur IT-Teams“: Tatsächlich sind alle Mitarbeitenden Teil der Verteidigungskette.
- „Angriffe passieren plötzlich“: Meist laufen sie über Tage oder Wochen in mehreren Stufen ab.
- „Ist der Virus da, ist alles zu spät“: Jede Phase der Kill Chain ist eine Gelegenheit zur Erkennung und Abwehr.
