Cyber kill chain

La kill chain describe una intrusión como una secuencia: reconocimiento, preparación del arma, entrega, explotación, instalación, mando y control, y acciones sobre los objetivos. La idea defensiva es que romper cualquiera de los eslabones detiene la operación entera, así que quien defiende puede planificar controles etapa por etapa en vez de reaccionar al impacto final. Es lineal y de alto nivel a propósito, y eso la hace una buena forma de explicar un ataque a un público no técnico y de razonar sobre dónde sale más barata la prevención.

Conviene deshacer la confusión con MITRE ATT&CK. La kill chain es un relato corto y ordenado de un ataque entero. ATT&CK es una matriz grande de tácticas y técnicas que describe sobre todo lo que hace un intruso cuando ya tiene un punto de apoyo, y sin orden fijo. Una cuenta la historia; la otra cataloga los movimientos.

La limitación del modelo está donde los equipos se fían demasiado de su forma. Las intrusiones reales no son cadenas ordenadas. El atacante da marcha atrás, se mueve de lado y se salta etapas: el movimiento lateral y la persistencia ocurren muchas veces, no una, y una amenaza avanzada persistente puede quedarse instalada mucho tiempo antes de actuar. Planificar la defensa como si cada eslabón ocurriera una vez y en orden deja huecos justo donde opera un adversario capaz: en el desorden que empieza una vez dentro. El error es tomarse el diagrama como si fuera la realidad en vez de como material didáctico.

Cuando presentamos una intrusión a un cliente, la kill chain suele ser el marco del resumen ejecutivo y ATT&CK el marco del detalle técnico: la historia en una página y, detrás, la evidencia técnica por técnica. La usamos para enseñar qué eslabones podrían haber roto sus controles y a qué coste. Esto forma parte de cómo dibujamos una intrusión para el cliente, para que el consejo y el blue team lean el mismo suceso al nivel que le corresponde a cada uno.