Cyber Kill Chain

1. Cyber Kill Chain 이란

Cyber Kill Chain은 군에서 사용하던 적의 활동을 식별하고 저지하는 단계별 접근 방식을 사이버 공격으로 해석한 개념으로 사이버 공격의 다양한 단계와 보안팀이 공격자를 탐지 및 차단할 수 있는 지점에 대해 설명한다.

2. Cyber Kill Chain 단계

1. Reconnaissance(정찰)
   공격 목표를 선정 및 분석하는 단계이다. 공격 목표가 선정되면 목표에 대한 정보를 수집한다.
   웹 크롤링, 사회 공학 기법, 구인 공고의 기술 스택, 사용하는 백신 및 EDR , IP 대역 및 열린 Port 등 다양한 정보를 수집하여 앞으로 진행될 단계에 활용한다.
   
   
2. Weaponization(무기화)
   초기 액세스에 사용될 악성코드가 개발되어 일부 유형의 익스플로잇 또는 전달 가능한 페이로드가 작성되는 단계이다.
   
   
3. Delivery(전달)
   익스플로잇 또는 페이로드가 공격 목표에 전달되는 단계.
   앞서 수집한 정보를 토대로 피싱, 스미싱, 악성 웹사이트로의 접속을 유도하여 무기화된 악성코드나 페이로드를 전달 하는 단계이다.
   
   
4. Exploit(익스플로잇)
   전달된 악성코드, 페이로드가 트리거되는 단계이다.
   
   
5. Install(설치)
   공격 목표에 악성코드가 설치되어 실행되는 단계이다.
   
   
6. C&C(명령 및 제어)
   공격 목표에 설치된 악성코드가 C&C 서버를 통해 명령을 수행하고 공격 목표를 제어하는 단계이다.
   
   
7. Action(행동 개시)
   내부 시스템의 기밀 정보 수집 및 시스템 파괴 등의 공격 수행 단계이다.
   
   

3. 단계별 탐지 및 대응 방안

 

아래는 각 단계별 대응 방안이다.

단계	공격 방법	대응 방안
Reconnaissance	- 이메일, 크롤링 - 사회공학기법	- IPS, FireWall, HoneyPot, Bastion Host
Weaponization	- 악성코드 및 페이로드 생성 - Trojan 등 결합	- IPS/IDS - Threat Intelligence
Delivery	- Drive By Download - Spear Phising	- Anti Spam - URL Filtering
Exploitation	- 악성코드 및 페이로드 실행 - 취약점 이용 공격	- Endpoint Security(Anti Virus, HIDS) - PMS(3rd Party, OS Patch)
Installation	- Trojan, Backdoor설치| - Lateral Movement	- Endpoint Security(Anti Virus, HIDS) - SIEM Monitoring
Commnad & Control	- 시스템 권한 획득 - 명령어 전달/제어	- IPS/IDS, FireWall - SIEM Monitoring
Actions	- 시스템 기밀 정보 수집 - 시스템 파괴	- DLP - IPS/IDS, FireWall

 

 

참조 

https://blog.skby.net/%EC%82%AC%EC%9D%B4%EB%B2%84-%ED%82%AC-%EC%B2%B4%EC%9D%B8-cyber-kill-chain/

사이버 킬 체인 (Cyber Kill Chain) > 도리의 디지털라이프

 

https://www.itworld.co.kr/news/100774

ITWorld 용어풀이 | 사이버 킬 체인(Cyber Kill Chain)

 

https://www.igloo.co.kr/security-information/%EC%82%AC%EC%9D%B4%EB%B2%84%ED%82%AC%EC%B2%B4%EC%9D%B8cyber-kill-chain%EB%AA%A8%EB%8D%B8%EC%9D%84-%ED%86%B5%ED%95%9C-siem%EC%9D%98-%ED%99%9C%EC%9A%A9/

사이버킬체인(Cyber Kill Chain)모델을 통한 SIEM의 활용

 

https://www.crowdstrike.com/cybersecurity-101/cyber-kill-chain/

What is the Cyber Kill Chain? Introduction Guide - CrowdStrike

https://academy.hackthebox.com/module/148/section/1363