Cyber Kill Chain: Comprendiendo las fases de un ciberataque

Comprender cómo piensan y actúan los atacantes es una de las bases de la ciberseguridad moderna, por ello el Cyber Kill Chain es uno de los modelos más utilizados a la hora de poder analizar, prevenir y dar respuesta a distintos incidentes relacionados con la seguridad. Cuenta con un enfoque que ayuda a identificar cuáles son los patrones comunes de los atacantes para poder diseñar estrategias de defensa más efectivas. Te contamos en qué consiste y cómo se lleva a cabo.

¿Qué es la Cyber Kill Chain?

Es un modelo que sirve para describir cuáles son las fases de un ciberataque y permite analizar cada etapa de forma independiente. De esta forma es posible adelantarse a las intenciones del atacante para interrumpir el ataque hasta que este se complete. Su fundamento principal es que ningún ataque se produce de la nada y que detrás de cada incidente existe una secuencia lógica de acciones que se pueden observar y detectar para que puedan ser mitigadas.

Origen y propósito del modelo Kill Chain de Lockheed Martin

El concepto de Kill Chain proviene del ámbito militar y fue adaptado al entorno digital por Lockheed Martin. La idea original consistía en describir la cadena de acciones necesarias para llevar a cabo una operación ofensiva, lo que trasladado a la ciberseguridad, establece un modelo centrado en el análisis de los ataques persistentes avanzados, conocidos como APT.
Por tanto, con este modelo busca ayudar a las organizaciones a defenderse de los ataques para poder romper esa cadena en cualquiera de sus eslabones, es decir, no solo se centra en explicar cómo atacan los adversarios. En este modelo se basan muchas estrategias o marcos de seguridad con los usados por el CCN-CERT, INCIBE o la Agencia Europea de Ciberseguridad.

¿Por qué es crucial la Kill Chain ciberseguridad para la protección?

Su principal punto fuerte es que en lugar de reaccionar cuando el daño ya se ha producido, tiene un perfil defensivo que busca la detección temprana y la prevención continua. Es decir, su utilización permite a los analistas y a los equipos de seguridad adelantarse a los daños, priorizar los controles y mejorar la toma de decisiones, por ello está presente en los estándares y marcos actuales (Ciberseguridad NIST o ISO/IEC 27001), que buscan gestionar el riesgo y responder a incidentes de manera precisa.

Las 7 fases de la Cyber Kill Chain

Como ya hemos señalado se basa en la idea de que es una cadena en la que cada eslabón puede romperse para evitar el ataque, por lo que el molo está estructurado en siete etapas consecutivas.

1. Reconocimiento: la fase de investigación del atacante

Es la primera parte del proceso en la que el atacante recopila la información que necesita sobre su objetivo. Para ello puede obtener datos públicos, perfiles en redes sociales, dominios, direcciones de correo o tecnologías utilizadas por la organización. En esta fase la información es la clave ya que cuanta más obtenga, más preciso será el ataque, por ello también es un pilar fundamental en la defensa.

2. Armamento (Weaponization): creación de la herramienta de ataque

Una vez que el atacante tiene la información que necesita deberá preparar el malware o el exploit para llevar a cabo el ataque. En este sentido, los métodos más usados son la combinación de un vector de explotación con una carga maliciosa, como un troyano o ransomware. Aunque esta fase suele pasar desapercibida para la víctima, permite conocer cómo se pueden diseñar ataques personalizados y a la hora de defenderse, comprender por qué algunas amenazas logran evadir controles tradicionales.

3. Entrega (Delivery): el camino hacia el objetivo

La entrega es el momento en el que el atacante envía la herramienta al objetivo. Aunque hay muchos métodos, el phishing por correo electrónico sigue siendo uno de los más utilizados. Aquí los atacantes buscarán la vía de llevar a cabo el ataque de la forma más efectiva posible, también pueden optar por propiciar descargas maliciosas, dispositivos USB o sitios web comprometidos.
Esta es la fase que más oportunidades ofrece a la hora de poder detectar un ataque, ya que en ella se pueden probar los filtros de correo o la concienciación de usuarios, algo que es muy habitual en iniciativas como los CyberCamp.

4. Explotación (Exploitation): tomando el control

Es el punto de inflexión en muchos ataques, ya que permite al atacante ejecutar acciones dentro del propio sistema. Esto se consigue mediante la ejecución del código malicioso en el sistema que aprovecha vulnerabilidades en este o errores humanos. En este punto, es fundamental aplicar una correcta gestión de las vulnerabilidades y las actualizaciones de seguridad.

5. Instalación (Installation): asegurando la persistencia

Cuando el atacante ha conseguido explotar el sistema su objetivo es mantenerse oculto durante el periodo de tiempo más largo posible, por lo que instalará un malware que el permita acceder al sistema usando backdoors o mecanismos que se ejecutan al iniciar el sistema.

6. Comando y Control (C2): la comunicación con el atacante

Es la fase de comunicación del sistema con la infraestructura del atacante. Es decir, se envían órdenes a través de canales de comando y control y se recibe la información que busca el delincuente. En este sentido, los equipos de seguridad deben ser capaces de detectar estas comunicaciones y frenar así el ataque a tiempo.

7. Acciones sobre los objetivos (Actions on Objectives): el cumplimiento del propósito final

Es la fase final, en la que el atacante cumple con su objetivo y que ayuda a evaluar los riesgos y consecuencias y comprender cuál es el impacto real del ataque. En este sentido, las pretensiones pueden ser distintas, al igual que el alcance ya que los delincuentes pueden buscar robar información, realizar espionaje, sabotaje o cifrado de sistema.

Estudia Cyber Threat Intelligence

Fórmate en uno de los perfiles más demandados de Ciberseguridad.

Ver oferta

Estrategias de defensa en cada fase

Conociendo cuáles son los métodos que sigue el atacante y cómo se llevan a cabo sus acciones, los sistemas de seguridad pueden establecer una defensa más adecuada, basada en romper la cadena de acontecimientos.

Prevención y detección temprana en las fases iniciales

La prevención siempre es la mejor opción y la mejor etapa para aplicar medidas de este tipo se da en las fases de reconocimiento, armamento y entrega. En este punto es donde entra en juego las políticas de seguridad, la formación de usuarios y la monitorización para que el ataque sea más leve. Por su parte, en la fase de entrega, el factor humano sigue siendo un pilar fundamental, por lo que la concienciación es el arma más eficaz.

Mitigación y respuesta ante la explotación e instalación

Lo más importante en esta fase es la capacidad de respuesta ante un incidente, por lo que será necesario actuar con rapidez a través de sistemas de detección de intrusiones, antivirus avanzados y una correcta gestión de parches que ayuden a limitar el alcance del ataque.

Contención y erradicación en las fases finales del ciberataque

Cuando el ataque alcanza las fases de comando y control o acciones sobre los objetivos, la prioridad es contener y erradicar la amenaza. Por lo que será necesario seguir los estándares internacionales vigentes y las recomendaciones del CCN-CERT y aislar sistemas, cortar comunicaciones y restaurar copias de seguridad.

Formación en Ciberseguridad: dominando la Cyber Kill Chain

Si quieres formarte en Ciberseguridad será necesario que conozcas cómo funciona la Cyber Kill Chain y cómo puedes detener los ataques antes de que se produzcan. Para ello, es necesario contar con la formación adecuada y desarrollar tus habilidades como analista de seguridad dentro de este ámbito.

El rol del analista de seguridad en la aplicación de la Kill Chain

El analista de seguridad utiliza la Kill Chain como guía para detectar anomalías, investigar incidentes y mejorar las defensas, es decir, dominar el modelo te permitirá pensar como el atacante, para poder llevar a cabo una buena defensa. Recuerda que en DKS disponemos del Curso en Ciberseguridad para que puedas adquirir los conocimientos que necesitas y adaptarte de manera efectiva a un entorno digital en evolución constante.