Threat Intelligence

Что такое Kill Chain

Cyber Kill Chain (Lockheed Martin, 2011) — модель, описывающая этапы целенаправленной кибератаки. Ключевая идея: если вы прерываете цепочку на любом этапе — атака не достигает цели. Чем раньше обнаружение — тем меньше ущерб.

Этап 1 — Разведка (Reconnaissance)

Что делает атакующий: собирает информацию о цели — сотрудники (LinkedIn), домены (DNS), технологии (Shodan, Wappalyzer), email-адреса (Hunter.io).

MITRE ATT&CK: TA0043 — Reconnaissance (T1595 — Active Scanning, T1589 — Gather Victim Identity Info).

Что может SOC: Мониторинг аномального сканирования периметра (IDS), honeypots, мониторинг утечек данных о компании (DarkWeb-мониторинг).

Этап 2 — Вооружение (Weaponization)

Что делает атакующий: создаёт вредоносный пейлоад: вложение с макросами, эксплойт для уязвимости, фишинговую страницу.

MITRE ATT&CK: TA0042 — Resource Development (T1587 — Develop Capabilities, T1588 — Obtain Capabilities).

Что может SOC: Напрямую повлиять на действия атакующего невозможно — он работает на своей инфраструктуре. Однако косвенно SOC может значительно сузить «поле для вооружения»: опираясь на результаты пентестов, аудитов безопасности и знание собственной инфраструктуры, SOC оценивает, какие уязвимости и точки входа наиболее привлекательны для противника, и приоритизирует их устранение. Если SOC знает, что на периметре стоит уязвимый Exchange — он понимает, что именно под него будет создан эксплойт. Дополнительно: мониторинг TI-фидов на новые инструменты и эксплойты, vulnerability intelligence (CISA KEV), патч-менеджмент критичных систем.

Этап 3 — Доставка (Delivery)

Что делает атакующий: доставляет пейлоад жертве: фишинговое письмо, вредоносная ссылка, эксплуатация публичного сервиса (RDP, VPN, Exchange), подброс заражённых USB-накопителей (USB drop attack — классика social engineering: флешки раскидываются на парковке, в холле, у входа в офис).

MITRE ATT&CK: TA0001 — Initial Access (T1566 — Phishing, T1190 — Exploit Public-Facing Application, T1078 — Valid Accounts, T1091 — Replication Through Removable Media).

Что может SOC: Email-фильтрация (sandbox detonation вложений), блокировка вредоносных URL на прокси, детекция эксплуатации VPN/RDP (аномальные логины, geo-impossible travel). Для USB-вектора: политики Device Control (блокировка/аудит подключения съёмных носителей через GPO, EDR или DLP), мониторинг Sysmon Event ID 1 (autorun-процессы при подключении USB), физическая безопасность (обучение персонала не подключать неизвестные устройства). Пресечение на этом этапе — лучший сценарий.

Этап 4 — Эксплуатация (Exploitation)

Что делает атакующий: пейлоад выполняется: макрос запущен, уязвимость эксплуатирована, пользователь кликнул по ссылке.

MITRE ATT&CK: TA0002 — Execution (T1204 — User Execution, T1059 — Command and Scripting Interpreter).

Что может SOC: EDR-детекция аномального поведения процессов (WINWORD.EXE → cmd.exe), Sysmon Event ID 1, AMSI для PowerShell, блокировка макросов политиками GPO.

Этап 5 — Установка (Installation)

Что делает атакующий: закрепляется: создаёт задачу в планировщике, ключ реестра Run, службу, DLL hijacking.

MITRE ATT&CK: TA0003 — Persistence (T1053 — Scheduled Task, T1547 — Boot/Logon Autostart, T1543 — Create/Modify System Process).

Что может SOC: Autoruns-мониторинг, Sysmon (Event ID 12/13 — реестр, Event ID 19-21 — WMI), EDR, YARA-сканирование, Regshot.

Этап 6 — C2 (Command and Control)

Что делает атакующий: устанавливает канал управления: HTTP/HTTPS beaconing, DNS tunneling, Cobalt Strike, Sliver.

MITRE ATT&CK: TA0011 — Command and Control (T1071 — Application Layer Protocol, T1573 — Encrypted Channel, T1568 — Dynamic Resolution).

Что может SOC: JA3-фингерпринтинг, beaconing-анализ (RITA), блокировка DGA-доменов, мониторинг DNS-аномалий, TI-фиды с C2-адресами.

Этап 7 — Действия на цели (Actions on Objectives)

Что делает атакующий: достигает цели: эксфильтрация данных, шифрование (ransomware), уничтожение (wiper), lateral movement для расширения доступа.

MITRE ATT&CK: TA0040 — Impact (T1486 — Data Encrypted, T1485 — Data Destruction), TA0010 — Exfiltration, TA0008 — Lateral Movement.

Что может SOC: DLP, мониторинг аномального объёма исходящего трафика, canary files для ransomware, сегментация сети для ограничения lateral movement.

Структура ATT&CK

MITRE ATT&CK — это база знаний о тактиках и техниках противников, построенная на реальных наблюдениях. В отличие от Kill Chain (линейная модель), ATT&CK — это матрица, где атакующий может использовать техники в любом порядке.

• Тактика (Tactic) — «зачем» атакующий выполняет действие. Пример: TA0003 — Persistence (закрепление в системе).
• Техника (Technique) — «как» он это делает. Пример: T1053.005 — Scheduled Task.
• Подтехника (Sub-technique) — конкретная вариация. Пример: T1053.005 — Scheduled Task/Job: Scheduled Task.
• Процедура (Procedure) — конкретная реализация техники конкретной группой. Пример: APT29 создаёт задачу с именем «WindowsUpdate».

Обзор тактик

Сценарий: фишинговая атака с доставкой ransomware

Четыре вершины ромба

Diamond Model (Caltagirone, Pendergast, Betz, 2013) описывает любое вторжение через четыре связанных элемента:

Как применять в SOC

Diamond Model помогает структурировать анализ инцидента и связывать артефакты:

• От Infrastructure к Adversary: Вы обнаружили C2-IP → WHOIS/PassiveDNS показывают, что этот IP использовался в кампании APT29 → вы знаете противника.
• От Capability к Infrastructure: Вы нашли Cobalt Strike Beacon → извлекли C2-конфиг → получили домены и IP-адреса C2-инфраструктуры.
• От Victim к Adversary: Ваша отрасль (энергетика) + регион (Европа) + используемые техники → TI-фиды указывают на Sandworm.
• Расширение: Узнав одну вершину, вы «вытягиваете» остальные → расширяете IoC, понимаете масштаб кампании.