Cos'e'#
Modello sviluppato da Lockheed Martin che suddivide ogni attacco informatico in 7 fasi sequenziali. Il principio fondamentale e' semplice: interrompere anche una sola fase blocca l'intera catena. Prima avviene l'interruzione, minore e' il danno.
TL;DR#
La Kill Chain descrive come un attaccante progredisce da zero conoscenza del target fino all'obiettivo finale. Il vantaggio per il Blue Team e' strutturale: ogni fase e' un'opportunita' di difesa. Fermare l'attaccante in fase 1-2 (prima che il payload sia consegnato) e' infinitamente preferibile a scoprire la compromissione in fase 7 quando i dati sono gia' stati esfiltrati.
Mappa Kill Chain#
Le 7 Fasi in Dettaglio#
La Kill Chain di Lockheed Martin e' descrittiva, non prescrittiva: mappa dove si trova l'attaccante nel ciclo, non dice automaticamente come difendersi. Ma identificare la fase corrente guida immediatamente le azioni di risposta.
Fase 1 - Reconnaissance#
La ricognizione e' la fase piu' silenziosa: l'attaccante raccoglie informazioni senza ancora toccare i sistemi target. Fonti tipiche: OSINT su LinkedIn per trovare dipendenti e ruoli, DNS per enumerare sottodomini, Shodan per trovare servizi esposti, email harvesting per costruire liste di phishing.
Difesa: ridurre la footprint pubblica. Ogni repository GitHub con credenziali hardcoded, ogni sottodominio dimenticato, ogni profilo LinkedIn che elenca tecnologie usate e' un regalo all'attaccante.
Fase 2 - Weaponization#
L'attaccante costruisce il payload specifico per il target identificato in fase 1. Non e' un malware generico ma un arma costruita attorno alla vulnerabilita' trovata: documento Word con macro che sfrutta una specifica versione di Office, PDF exploit per un Reader non aggiornato, o un dropper exe mascherato da installer legittimo.
La weaponization avviene interamente nell'infrastruttura dell'attaccante: nessuna traccia nei sistemi target fino alla fase successiva.
Fase 3 - Delivery#
Il payload raggiunge il target. I vettori principali sono: phishing email (il piu' comune), watering hole attack (compromettere siti visitati dal target), USB drop fisico, drive-by download, e supply chain compromise (compromettere un fornitore software fidato).
Difesa: questa e' la fase dove email security (SPF/DKIM/DMARC), URL filtering e security awareness hanno il massimo impatto. Bloccare la delivery significa che la weaponization e' stata inutile.
Fase 4 - Exploitation#
Il payload esegue sfruttando una vulnerabilita': buffer overflow, CVE non patchato, o semplicemente un utente che esegue la macro. Questa e' la fase dove i controlli preventivi (patching, hardening) mostrano il loro valore e i controlli detective (EDR behavioral analysis, sandboxing) possono ancora fermare l'attacco.
Fase 5 - Installation#
Dopo l'exploitation, l'attaccante installa un meccanismo di persistenza per non perdere l'accesso se il processo viene terminato o il sistema riavviato. Tecniche tipiche: registry run key, scheduled task, DLL hijacking, bootkit. Un RAT (Remote Access Trojan) o backdoor garantisce un canale stabile.
Difesa: Application allow-listing impedisce l'esecuzione di binari non autorizzati. File Integrity Monitoring (FIM) rileva modifiche a file di sistema e chiavi di registro.
Fase 6 - Command and Control (C2)#
Il sistema compromesso stabilisce un canale di comunicazione con il server dell'attaccante (C2 o C&C). Tecniche moderne usano protocolli che sembrano traffico legittimo: HTTPS verso CDN, DNS tunneling (dati nel campo TXT delle query DNS), persino Google Docs come canale C2. Framework come Cobalt Strike, Metasploit o Sliver gestiscono questa comunicazione.
Difesa: DNS sinkhole (reindirizzare domini C2 verso server controllati), egress filtering (bloccare connessioni outbound inattese), anomaly detection sul traffico outbound. Se il C2 viene interrotto, l'attaccante perde il controllo anche se la backdoor e' ancora installata.
Fase 7 - Actions on Objectives#
L'attaccante esegue il suo obiettivo finale. Puo' essere: esfiltrazione di dati (il piu' comune), deployment di ransomware, sabotaggio di sistemi critici, o lateral movement verso altri sistemi per espandere la compromissione. Scoprire l'attacco in questa fase significa che il danno e' gia' avvenuto.
Punto di Intervento Blue Team#
La sequenza delle fasi definisce anche l'urgenza dell'intervento. Fermare l'attaccante presto costa meno e causa meno danno.
graph LR
R1[1 - RECON]
R2[2 - WEAPON]
R3[3 - DELIVERY]
R4[4 - EXPLOIT]
R5[5 - INSTALL]
R6[6 - C2]
R7[7 - ACTIONS]
EARLY[Fase ideale
intervento
fasi 1-4]
LATE[Danno gia'
parziale
fasi 5-6]
CRISIS[Danno
avvenuto
fase 7]
R1 --> R2 --> R3 --> R4 --> R5 --> R6 --> R7
R1 -.-> EARLY
R3 -.-> EARLY
R5 -.-> LATE
R6 -.-> LATE
R7 -.-> CRISIS
| Fase | Costo intervento | Danno subito | Tool di difesa |
|---|---|---|---|
| 1-2 Recon/Weapon | Basso | Zero | OSINT reduction, threat intel |
| 3-4 Delivery/Exploit | Medio | Zero o minimo | Email filter, EDR, patching |
| 5 Installation | Alto | Possibile | FIM, allow-listing |
| 6 C2 | Molto alto | Probabile | DNS sinkhole, egress filter |
| 7 Actions | Critico | Gia' avvenuto | IR plan, DLP, segmentazione |
La Kill Chain e' un modello DESCRITTIVO, non prescrittivo. Dice dove si trova l'attaccante nel ciclo, non come difendersi in modo esaustivo. Per le tecniche specifiche di ogni fase, il riferimento e' MITRE ATT&CK, che e' un catalogo granulare di tecniche e sub-tecniche reali.
Diamond Model#
Il Diamond Model e' un framework alternativo alla Kill Chain che descrive un attacco come relazione tra 4 elementi invece di una sequenza di fasi. I 4 vertici del diamante sono: Adversary (chi attacca), Capability (l'arma/tecnica usata), Infrastructure (server C2, dominio, IP), Victim (chi viene attaccato).
Il Diamond Model e' piu' utile per la threat intelligence e l'attribution: analizzando la relazione tra questi 4 elementi in attacchi diversi, si possono collegare campagne dello stesso threat actor anche se le tecniche cambiano.
graph TD
ADV[ADVERSARY
attaccante]
CAP[CAPABILITY
payload, exploit, tool]
INF[INFRASTRUCTURE
C2, IP, dominio]
VIC[VICTIM
target]
ADV --- CAP
CAP --- VIC
VIC --- INF
INF --- ADV
ADV --- VIC
CAP --- INF
Kill Chain vs Diamond Model: la Kill Chain risponde a "in che fase dell'attacco siamo?", il Diamond Model risponde a "chi sta attaccando chi, con cosa e da dove?".
Exam trap: Kill Chain (Lockheed Martin) e MITRE ATT&CK sono spesso confusi. Kill Chain = 7 fasi macro, descrittivo, utile per capire in quale momento dell'attacco ti trovi. MITRE ATT&CK = catalogo dettagliato di tecniche e sub-tecniche reali usate da threat actor reali, organizzato per tattiche. Sono complementari, non alternativi.
"Earliest phase to stop an attack with least damage" nelle domande d'esame → Reconnaissance o Weaponization. Se l'attacco viene fermato prima della Delivery, la weaponization e' stata inutile e nessun sistema target e' stato toccato.
Dev parallel: per uno sviluppatore Node/PHP che costruisce un'app, la Kill Chain si mappa cos i. Reconnaissance: l'attaccante fa Google Dorking sul tuo dominio e trova vecchie versioni API esposte in un commit GitHub o un sottodominio staging dimenticato. Weaponization: costruisce un payload SQLi o CSRF specifico per i tuoi endpoint. Delivery: phishing con link al tuo portale di login fasullo, o direct exploit su un endpoint pubblico. Exploitation: SQLi su un endpoint non parametrizzato, oppure IDOR su una API che non valida l'ownership della risorsa. Installation: webshell PHP caricata tramite file upload che accetta qualsiasi mime type. C2: il webshell polla un URL esterno per istruzioni ogni 60 secondi, sembrando una normale richiesta HTTP. Ogni fase corrisponde a un controllo di sviluppo mancante: parametrizzazione query, validazione upload, rotazione credenziali, CSP header.
Scenario Reale#
Un SOC analyst riceve un alert dal SIEM: traffico DNS anomalo da un server interno, centinaia di query verso un dominio con sottodomini generati algoritmicamente (DGA - Domain Generation Algorithm). Siamo in fase 6 (C2 via DNS tunneling). Il server e' gia' stato compromesso in fasi precedenti. L'analyst attiva l'IR plan: isola il server, acquisisce la memoria per analisi forensica, cerca nei log storici i segnali delle fasi precedenti (file upload anomalo che corrisponde alla fase 5, email con allegato nelle ultime 48 ore per la fase 3). Ricostruire la Kill Chain dall'alert C2 a ritroso e' il cuore del DFIR.
Collegato a#
- mitre-attack-framework — catalogo granulare delle tecniche per ogni fase
- incident-response-lifecycle — IR plan attivato in fase 7
- passive-reconnaissance — strumenti usati in fase 1
- dns-tunneling — tecnica C2 in fase 6
