No es ningún secreto que los ciberdelincuentes siempre buscan nuevas formas de apoderarse de los activos más delicados de las empresas. Sin lugar a dudas, estar en constante innovación les permite incluso estar un paso por delante de algunas medidas de ciberseguridad de primera línea. Sin embargo, aunque los canales que utilizan pueden variar, su metodología mantiene la misma base. Probablemente esa sea una de las pocas formas que tenemos de anticipar sus malvados pasos siguientes. En esta entrada del blog, te explicaremos cómo estudiar la taxonomía de las cadenas de destrucción puede evitar que futuros atacantes infrinjan los sistemas de tu organización.

¿Qué es la taxonomía de Kill Chain?

También conocido como el Cyber Kill Chain o Kill Chain Framework, la taxonomía de Kill Chain es un grupo de tácticas de ciberseguridad destinadas a detectar, combatir y prevenir los ciberataques como el ransomware, las brechas de seguridad y las amenazas persistentes avanzadas (APT). El término se basa en la idea de que los ataques se producen en fases, que pueden rechazarse mediante una serie de controles establecidos en cada fase. Varias organizaciones de seguridad de todo el mundo han confiado en estas medidas de seguridad, en su nombre.

Taxonomía de Kill Chain: del ejército al corporativo

El concepto militar original se originó y se llevó a cabo en la década de 1990. Luego, Lockheed Martin, una empresa multinacional aeroespacial y militar con sede en EE. UU., lo mejoró y lo difundió en 2007 en todo el mundo de la seguridad de la información. Lockheed Martin actúa como el nexo entre la idea original del término y su uso en los tiempos modernos.Antiguamente, el Matar a Chain —como todavía se le conoce a veces— era un concepto militar fuertemente relacionado con la estructura de un ataque. Su objetivo era identificar, atacar y destruir al objetivo. En la actualidad, el término consiste en un método para modelar las intrusiones en una red informática después Los científicos informáticos de Lockheed Martin lo introdujeron en el campo de la seguridad de la información.Como resultado, el significado del concepto viene dado ahora por la idea de «romper» la cadena mortal del oponente —digamos, los modales de los ciberdelincuentes— como método de defensa o acción preventiva. De hecho, esta metodología ha ayudado a muchas empresas a defender sus redes más delicadas hasta ahora mediante un enfoque gradual.

¿Cómo funciona la taxonomía de Kill Chain?

La taxonomía de Kill Chain funciona a través de fases, todos los cuales corresponden a cada uno de los pasos que deben seguir las amenazas para completar un ciberataque. Sin embargo, la taxonomía de la cadena de muerte no necesita un ataque real para utilizarse. En su lugar, puede aprovechar este marco de seguridad como herramienta de gestión. De este modo, puede ayudarlo a mejorar continuamente la defensa de la red de su empresa. Sin embargo, cualquier acción que se tome basándose en el conocimiento de la taxonomía será en vano si el ejecutante no conoce las fases adecuadas de Kill Chain.

1. Reconocimiento

En primer lugar, el atacante observa y busca un objetivo y sus vulnerabilidades. Por lo general, evalúan la situación desde fuera hacia adentro y comienzan a diseñar sus tácticas de ataque: recopilar direcciones de correo electrónico, información sobre conferencias, entre otras cosas.

2. Armamento

Luego, generan el paquete que utilizarán para explotar las vulnerabilidades. El malware de acceso remoto es uno de los más comunes, ya que puede entregarse en forma de virus o gusano.

3. Entrega

Posteriormente, el atacante transmite el paquete maligno al objetivo. Por lo general, lo entregan por correo electrónico, web, USB, etc.

4. Explotación

Después de eso, el delincuente se afianza mejor cuando el malware malicioso ingresa al sistema y comienza a codificar los desencadenantes. Como resultado, se explotan las vulnerabilidades.

5. Instalación

Posteriormente, el malware se instala en los activos objetivo y el atacante obtiene un punto de acceso, por ejemplo, una «puerta trasera».

6. Comando y control (C2)

En esta etapa, el malware establece un canal de control para que el intruso obtenga acceso persistente a la red objetivo. Esto también significa que puede controlar a la víctima de forma remota.

7. Acciones sobre los objetivos

Por último, el atacante pretende alcanzar sus objetivos, como la exfiltración de datos, la destrucción de datos o el cifrado para obtener un rescate, tomando medidas. Estas son las siete fases o pasos que Lockheed Martin reconoce como parte de su Cyber Kill Chain. Sin embargo, existen variaciones de este método gradual.

Excepciones a las 7 fases de la taxonomía Kill Chain

Ahora que conoce las siete fases de la taxonomía Kill Chain, también debería darse cuenta de que otros especialistas en seguridad del sector presentan diferentes enfoques del marco. Por ejemplo, seguramente se encontrará con otros modelos de Cyber Kill Chain, que también son válidos si se examinan las diferencias con más detenimiento.

• Entre las fases de reconocimiento y explotación, solo hay un paso: Intrusión, en el que el atacante entra en el sistema aprovechando el malware o las vulnerabilidades de seguridad.
• Tras la etapa de Explotaciones, Escalación de privilegios, Movimiento lateral, Ofuscación y antiforenses, Denegación de servicio, y Exfiltración sigue.

Estas últimas cinco etapas apuntan a la complejidad de atacar un sistema. En otras palabras, el delincuente necesita obtener un acceso más privilegiado, moverse lateralmente a otras cuentas, cubrir sus huellas, trazar pistas falsas, interrumpir el acceso normal, etc., para lograr su propósito final. Por lo tanto, este enfoque ofrece una visión más detallada en el proceso de un atacante para entrar en el sistema de una organización.

¿Cómo defender su información utilizando la taxonomía Kill Chain?

Mientras tanto, debes aprovechar la taxonomía de la cadena de muertes para romper la rutina del atacante. Sin embargo, esto no es tan fácil como parece. El modelo de la taxonomía de Kill Chain también recibe críticas. Por lo general, dicen que «se centra únicamente en la seguridad perimetral y la prevención del malware». La verdad es que, cuando se combina con análisis avanzados, la Cyber Kill Chain puede revelar el estado activo de una violación de datos. ¿No es esto fundamental para la seguridad de los datos? ¡Por supuesto que lo es! Y si existe una herramienta ideal que proporcione modelos predictivos complementarios, esa debe ser AT&T Cybersecurity.

AT&T Cybersecurity: el software de búsqueda de amenazas más confiable

AT&T Cybersecurity, anteriormente conocida como AlienVault, es uno de los programas de protección más reconocidos de la actualidadNació en 2018 tras la adquisición de AlienVault por parte de AT&T Communications. Meses después, AT&T creó una nueva marca para ofrecer servicios de código abierto para gestionar los ciberataques. Una de las soluciones de ciberseguridad de AT&T está estrechamente relacionada con la taxonomía Kill Chain: la gestión de amenazas inteligentes de AlienVault Unified Security Management (USM). Sin duda, la USM de AT&T Cybersecurity se basa en una taxonomía de cadenas de muerte para dividir los ataques en cinco categorías de amenazas, de la más alta a la más baja.

1. Compromiso del sistema muestra un posible sistema comprometido.
2. Explotación e instalación indica una explotación exitosa de una vulnerabilidad en un sistema.
3. Entrega y ataque muestra un intento de entrega de un exploit.
4. Reconocimiento y sondeo revela a un mal actor que intenta descubrir información sobre su red.
5. Conciencia ambiental muestra infracciones de políticas, software vulnerable o comunicaciones sospechosas.

En consecuencia, la solución proporciona la información contextual detallada sobre las amenazas necesita ayudarlo a comprender cómo interactúan los atacantes con su red. De esta manera, puede centrar su atención en las amenazas más críticas al conocer la intención del ataque y la gravedad de la amenaza. Por lo tanto, si busca un software completo que facilite la administración y la priorización de las amenazas, AT&T Cybersecurity es la herramienta de seguridad adecuada para usted o para su empresa.

¿Cómo podemos ayudarte?

La lucha contra los ciberdelincuentes hoy en día puede ser un verdadero desafío para empresas como la suya, lo sabemos. Por eso, en GB Advisors nos centramos en brindar un soporte de calidad suficiente a organizaciones como la suya. Siempre que necesite ayuda para reforzar su ciberseguridad, póngase en contacto con nuestro equipo de expertos para recibir una atención privilegiada, así como asesoramiento de primer nivel y soluciones de vanguardia para defender sus activos más confidenciales de los piratas informáticos, que siempre están presentes.