Mit KI die Cyber Kill Chain durchbrechen

Wir haben unsere beiden Serien über die Rolle der KI bei bösartigen Angriffen und ausgefeilten Verteidigungsmaßnahmen abgeschlossen. In diesem Blog untersuchen wir das Framework der Cyber Kill Chain und die Möglichkeiten, die sich durch den Einsatz von KI ergeben

Was ist das Framework der Cyber Kill Chain?

Die Begriffe „Cyber Kill Chain“ und „Cyber-Kill-Chain-Framework“ werden häufig synonym verwendet, es gibt jedoch leichte Unterschiede zwischen den beiden. Die Cyber Kill Chain® ist ein 2011 von Lockheed Martin entwickeltes Modell. Es beschreibt die Struktur und den Handlungsablauf eines Angriffs, von der Identifizierung des Ziels bis zur Ausführung der Mission. Es ist inspiriert von der militärischen „Kill Chain“-Doktrin, die die Schritte zur Identifizierung und Neutralisierung eines Ziels beschreibt.

 Dieses Modell bietet einen umfassenden Überblick über den in sieben verschiedenen Phasen ablaufenden Angriffsprozess:

1. Ausspionieren: Sammeln von Informationen über das Opfer
2. Bewaffnung: Erstellen einer bösartigen Nutzlast
3. Zustellung: Übertragen der Nutzlast an das Opfer
4. Ausbeutung: Das Ausnutzen einer Schwachstelle, um die Nutzlast auszuführen
5. Installation: Installation von Malware auf dem System des Opfers
6. Command and Control (C2): Herstellen der Kommunikation mit dem kompromittierten System
7. Zielgerichtete Aktionen: Durchführen der beabsichtigten bösartigen Aktivitäten, wie etwa Datendiebstahl oder Systemstörungen.

Das „Framework der Cyber Kill Chain“ lässt sich als eine lebendige, operationalisierte Version der Cyber Kill Chain beschreiben. Hierbei handelt es sich um eine gemeinsame Anstrengung der Cybersecurity-Community, um das Modell von Lockheed Martin um weitere Details und Aspekte moderner Cyberangriffe zu erweitern. Um jede Stufe der Cyber Kill Chain vollständig zu verteidigen, ergänzt der erweiterte Rahmen jede Phase um vier Komponenten:

1. Erkennungsmechanismen: Tools und Technologien zur Erkennung von Bedrohungen auf jeder Stufe der Kill Chain, wie z. B. Intrusion Detection Systeme (IDS), Endpoint Detection and Response (EDR) und Threat Intelligence Plattformen.
2. Analyseprozesse: Methoden zur Analyse von Bedrohungen und zum Verständnis des Verhaltens von Angreifern, einschließlich forensischer Analysen, Verhaltensanalysen und Machine-Learning-Modelle.
   
3. Reaktionsstrategien: Definierte Verfahren für die Reaktion auf Bedrohungen, z. B. Incident-Response-Pläne, automatisierte Reaktionsmechanismen und Aktivitäten zur Bedrohungssuche.
   
4. Kontinuierliche Verbesserung: Laufende Bemühungen zur Verfeinerung und Verbesserung des Rahmens auf der Grundlage neuer Bedrohungen und Lektionen aus früheren Vorfällen.
   

Unternehmen können ein Framework an die Umgebung, Risikofaktoren, Angriffsart usw. anpassen. Wir veranschaulichen dies, indem wir das Framework auf zwei Ransomware-Angriffsszenarien anwenden. In der folgenden Tabelle vergleichen wir einen Angriff über eine Firewall mit einem Angriff über einen bösartigen E-Mail-Anhang:

In unserem aktuellen E-Book über die Rolle von KI in der Cybersecurity wird ein Beispiel für ein Ransomware-Framework der Cyber Kill Chain erläutert.  

In dieser allgemeinen Übersicht überschneiden sich die vier Komponenten des Frameworks im Verlauf des Angriffs zunehmend, wobei es in den letzten beiden Phasen keine wesentlichen Unterschiede gibt. Frameworks erleichtern die Visualisierung von Angriffen und Abwehrmaßnahmen, sodass Sie eine umfassende, unternehmensweite Sicherheitsstrategie entwickeln können.

KI und das Framework der Cyber Kill Chain

Nachdem wir nun jede Komponente in jeder Phase des Frameworks aufgeschlüsselt haben, ist deutlich geworden, wie sich die KI-Fähigkeiten direkt auf jede Funktion beziehen. Wir beschränken dieses Beispiel auf die ersten beiden Phasen des Frameworks:

Phase 1: Ausspionieren

1. Erkennung: KI-gestützte Intrusion Detection Systeme (IDS) verwenden maschinelles Lernen, um ungewöhnliche Scan-Aktivitäten und Anomalien im Netzwerktraffic zu identifizieren.
2. Analyse: Potenzielle Bedrohungen durch Ausspionieren werden mit KI-Modellen klassifiziert und priorisiert. Diese Modelle stützen sich auf integrierte Bedrohungsdaten, die Bedrohungsdaten aus verschiedenen Quellen miteinander in Beziehung setzen.
3. Antwort: KI-gestützte Automatisierung implementiert Gegenmaßnahmen, wie das Blockieren verdächtiger IP-Adressen und das Aktualisieren von Firewall-Regeln in Echtzeit
4. Kontinuierliche Verbesserung: Algorithmen des maschinellen Lernens und adaptive Modelle verfeinern die Erkennungsfunktionen und aktualisieren die Modelle basierend auf Rückmeldungen aus früheren Ausspionierversuchen.

Phase 2: Bewaffnung

1. Erkennung: KI-unterstützte Malware-Analyse Sandboxen erkennen verdächtige Dateien und analysieren ihr Verhalten. Code-Analysefunktionen nutzen maschinelles Lernen, um bösartige Codemuster zu identifizieren.
2. Analyse: Deep-Learning-Modelle simulieren Angriffe, um das Verhalten der Payload vorherzusagen; Threat-Intelligence-Plattformen aktualisieren Daten über alle Phasen hinweg in Echtzeit.
3. Reaktion: Automatisierte Systeme verteilen Gegenmaßnahmen im gesamten Netzwerk und Bedrohungserkennungsfunktionen unterstützen die Aktualisierung von Sicherheitsprotokollen.
4. Kontinuierliche Verbesserung: KI-Feedback-Schleifen lernen aus neuen Malware-Samples und verfeinern die Erkennungs- und Präventionsalgorithmen. Bedrohungsdaten werden verwendet, um adaptive Sicherheitsmaßnahmen zu aktualisieren.

Verlagerung nach links

Die Integration von KI in ein umfassendes Framework der Cyber Kill Chain verbessert die Chancen auf eine frühere Erkennung und Unterbrechung. Ein Angriff, der in Phase 6 des Frameworks entdeckt wird, ist schwieriger und teurer zu entschärfen als ein Angriff, der in Phase 3 entdeckt wird.

Das Ziel von Cybersecurity-Experten und der Sicherheitsindustrie ist es, Angriffe so früh wie möglich in der Chain zu erkennen und zu stoppen.

Eine Verschiebung nach links bedeutet, dass die Security in den Phasen des Ausspionierens und der Bewaffnung in der Chain verstärkt wird. Dies kann das Scannen nach Schwachstellen von Anwendungen, die Einrichtung starker Zugriffskontrollen und Authentifizierungsmechanismen und sogar die Überwachung des Dark Web auf potenzielle Bedrohungen umfassen. Threat-Intelligence-Funktionen erleichtern diese Früherkennungsmechanismen und das phasenübergreifende Lernen, das für laufende Aktualisierungen der Komponenten des Frameworks in jeder Phase erforderlich ist.

Das Verschieben nach links ist eine wichtige Praxis, weil es die Angriffsfläche für Bedrohungsakteure reduziert. Es ermöglicht auch schnellere Reaktionszeiten auf Bedrohungen und führt zu einer robusteren Securityinfrastruktur.

KI transformiert die Fähigkeiten für alle Phasen der Cyber Kill Chain und verbessert die Verteidigung eines Unternehmens gegen fortschrittliche Angriffe und Zero-Day-Bedrohungen erheblich. Da Bedrohungsakteure KI einsetzen, um ihre Angriffe zu beschleunigen und zu vervielfachen, haben Securityfachleute keine andere Wahl, als KI-gestützte Abwehrmaßnahmen einzusetzen. Mit einem Framework können IT-Teams Sicherheitslücken identifizieren und ihre Bemühungen auf bestimmte Phasen einer Angriffssequenz konzentrieren.

Barracuda hat ein neues E-Book mit dem Titel „Die Sicherheit von morgen: ein CISO-Leitfaden zur Rolle von KI in der Cybersecurity“ veröffentlicht. Dieses E-Book untersucht Sicherheitsrisiken und zeigt die Schwachstellen auf, die Cyberkriminelle mit Hilfe von KI ausnutzen, um ihre Angriffe auszuweiten und ihre Erfolgsquoten zu verbessern. Holen Sie sich Ihr kostenloses Exemplar des E-Books hier.