מודל ה-Cyber Kill Chain: מסגרת שיטתית לניתוח מתקפות סייבר​

מודל ה-Cyber Kill Chain מציע מסגרת אנליטית להבנת מתקפות סייבר כתהליך רב־שלבי, החל מאיסוף מודיעין ועד למימוש מטרות התקיפה. המודל, שפותח על ידי חברת Lockheed Martin, משמש כלי מרכזי במחקר, בהוראה וביישום מעשי של אבטחת מידע. יישומו מאפשר זיהוי נקודות התערבות קריטיות לצורכי מניעה, גילוי ותגובה לאירועי סייבר.


שבעת שלבי ה-Cyber Kill Chain

מודל ה-Cyber Kill Chain מחלק מתקפת סייבר לשבעה שלבים עוקבים:

  1. 1Reconnaissance – איסוף מודיעין
  2. Weaponization – חימוש
  3. Delivery – מסירה
  4. Exploitation – ניצול
  5. Installation – התקנה והתבססות
  6. Command & Control (C2) – שליטה ובקרה
  7. Actions on Objectives – השגת מטרות התקיפה


הנחת היסוד של המודל היא כי פגיעה או סיכול של אחד משלבי השרשרת עשויים למנוע את התקדמות המתקפה או לצמצם משמעותית את השפעתה.

תיאור מפורט של שלבי המודל

1. Reconnaissance – איסוף מודיעין
בשלב זה התוקף אוסף מידע על היעד באמצעות מקורות גלויים וסמויים, לרבות מידע ארגוני פומבי (OSINT), פרטי עובדים, דומיינים, כתובות IP ושירותים זמינים. מטרת השלב היא בניית תמונת מצב שתאפשר התאמה מדויקת של כלי התקיפה לסביבת היעד.

2. Weaponization – חימוש
בשלב החימוש נבנה כלי התקיפה על ידי שילוב בין מנגנון ניצול חולשה (Exploit) לבין קוד זדוני מבצעי (Payload). שלב זה מתבצע מחוץ לרשת היעד ומתבסס על המידע שנאסף בשלב הסיור.

3. Delivery – מסירה
בשלב זה מועבר כלי התקיפה אל היעד באמצעים שונים, כגון מתקפות Phishing, קבצים או קישורים זדוניים, התקני אחסון ניידים או ניצול שירותי רשת חשופים. שלב המסירה מהווה נקודת זיהוי והגנה מרכזית עבור מערכות אבטחה ארגוניות.

4. Exploitation – ניצול
בשלב הניצול מתבצעת הפעלה בפועל של הקוד הזדוני באמצעות ניצול חולשות תוכנה, הפעלת קוד אוטומטי (כגון Macros) או מתקפות הזרקה. הצלחת שלב זה מעניקה לתוקף דריסת רגל ראשונית במערכת היעד.

5. Installation – התקנה והתבססות
הקוד הזדוני מותקן במערכת היעד ויוצר מנגנוני התמדה (Persistence), כגון שירותים מערכתיים, משימות מתוזמנות או שינויי Registry. מטרת השלב היא להבטיח גישה מתמשכת גם לאחר אתחול המערכת.

6. Command & Control (C2) – שליטה ובקרה
בשלב זה המערכת הנגועה מקיימת תקשורת עם תשתית השליטה של התוקף באמצעות פרוטוקולים שונים, לרבות HTTP/HTTPS, DNS Tunneling או ערוצי תקשורת מוסווים. שלב זה מאפשר לתוקף שליטה וניהול מרחוק של המתקפה.

7. Actions on Objectives – השגת מטרות התקיפה
בשלב האחרון מבוצעות הפעולות המהוות את מטרת התקיפה, כגון גניבת מידע, ריגול מתמשך, תנועה רוחבית ברשת, השבתת שירותים או הצפנת מערכות (Ransomware).

דיון
מודל ה-Cyber Kill Chain מדגיש כי מתקפת סייבר היא תהליך דינמי ומתמשך ולא אירוע נקודתי. המודל מהווה בסיס תאורטי להבנת מתקפות מתקדמות (APT) ומשתלב עם מסגרות מודרניות כגון MITRE ATT&CK, המספקות פירוט טקטי רחב יותר של פעולות התוקף.

סיכום
ה-Cyber Kill Chain מספק מסגרת מושגית חיונית לניתוח מתקפות סייבר ולפיתוח אסטרטגיות הגנה. עבור חוקרים, אנשי אבטחת מידע וסטודנטים, מדובר בכלי יסוד המחבר בין תאוריה ליישום מעשי ומדגיש את חשיבות הזיהוי המוקדם והתגובה המושכלת.

ביבליוגרפיה

1. Hutchins, E. M., Cloppert, M. J., & Amin, R. M. (2011).
Intelligence-driven computer network defense informed by analysis of adversary campaigns and intrusion kill chains.
Leading Issues in Information Warfare & Security Research, 1(1), 80–106.
2. Lockheed Martin. (2011).
Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains.
Lockheed Martin Corporation.
3. MITRE Corporation. (2023).
MITRE ATT&CK® Framework.
https://attack.mitre.org
4. Alshamrani, A., Myneni, S., Chowdhary, A., & Huang, D. (2019).
A survey on advanced persistent threats: Techniques, solutions, challenges, and research opportunities.
IEEE Communications Surveys & Tutorials, 21(2), 1851–1877.
5. Scarfone, K., & Mell, P. (2012).
Guide for Conducting Risk Assessments (NIST SP 800-30 Rev. 1).
National Institute of Standards and Technology.
​