Cyber Kill Chain vs MITRE ATT&CK: cuál es mejor

Cyber Kill Chain y MITRE ATT&CK Framework son dos modelos distintos que se utilizan para comprender y combatir los ciberataques. Si bien ambos modelos comparten el objetivo común de comprender y mitigar las amenazas cibernéticas, difieren en su enfoque y alcance. Cyber Kill Chain es un modelo de siete etapas que divide los ataques cibernéticos en etapas, mientras que MITRE ATT&CK Framework adopta un enfoque más granular.

Estos modelos permiten a los equipos de ciberseguridad identificar y priorizar amenazas, desarrollar defensas efectivas, compartir inteligencia sobre amenazas cibernéticas y catalogar tácticas y procedimientos adversarios.

¿Qué es el marco Cyber Kill Chain?

Inspirada en la cadena de muerte del ejército, Cyber Kill Chain es un enfoque paso a paso que ayuda a identificar y prevenir ataques cibernéticos. Introducida por primera vez por Lockheed Martin en 2011, Cyber Kill Chain describe los ciberataques comunes en 7 etapas, incluidos los puntos en los que un equipo de seguridad de la información puede intervenir, ayudándolos así a prevenir, detectar o interceptar un ataque. Echemos un vistazo:

1. Reconocimiento: en esta etapa, el pirata informático recopila información sobre el objetivo, como la infraestructura de la red, la postura de seguridad, las credenciales de los empleados, etc. Utiliza varias tácticas para recopilar esta información.
2. Armado: una vez que el hacker recibe la información del objetivo, busca formas de utilizarla para obtener acceso a su sistema o red. Se puede realizar mediante ataques de ingeniería social, como phishing, ransomware, etc., u otras tácticas para instalar archivos o software maliciosos en el sistema.
3. Entrega: ahora que han identificado sus objetivos y los métodos para atacarlos, los piratas informáticos penetran a través de un correo electrónico de phishing o explotando vulnerabilidades. Al aprovechar las debilidades del sistema, los atacantes pueden ejecutar su plan sin depender de que un empleado instale el malware, aumentando así sus posibilidades de éxito.
4. Explotación: como siguiente paso, los piratas informáticos utilizan las vulnerabilidades identificadas para obtener un acceso más profundo a una red y explotar este acceso en su beneficio. Pueden realizar escaneos de red o intentar apoderarse de contraseñas.
5. Instalación: a continuación, los piratas informáticos buscan establecer una presencia persistente instalando software malicioso en múltiples sistemas. Esto les permite mantener el acceso y reanudar los ataques en cualquier momento, incluso si se descubre y elimina su punto de entrada. Su objetivo es infectar tantos sistemas como sea posible y crear un acceso de puerta trasera para garantizar la continuidad de su ataque.
6. Comando y control: en esta etapa, los piratas informáticos establecen una infraestructura de comando y control que les permite supervisar y controlar los sistemas comprometidos, enviar comandos a malware y extraer datos. Este paso es vital para que los atacantes mantengan el control sobre el entorno comprometido.
7. Acciones según los objetivos: en la última etapa, los piratas informáticos logran sus objetivos específicos, como robar información confidencial, interrumpir las operaciones comerciales u otras actividades maliciosas. En este paso, los usuarios pueden notar repentinamente notificaciones inusuales en sus pantallas que indican el cifrado de archivos o la falta de disponibilidad, a medida que los atacantes se revelan abiertamente.

¿Qué es el Marco MITRE ATT&CK?

El marco MITRE ATT&CK es un recurso integral que monitorea las tácticas y técnicas de los actores maliciosos durante todo el proceso de ataque. Está diseñado para mejorar la postura de seguridad de una organización al proporcionar información sobre las motivaciones de los piratas informáticos para sus acciones y cómo estas acciones se relacionan con estrategias de defensa específicas.

El marco está lleno de datos de inteligencia pública sobre amenazas, informes de incidentes e investigaciones sobre nuevas técnicas realizadas por analistas y atacantes de ciberseguridad. Es un marco esencial para que los profesionales de la ciberseguridad comprendan y contrarresten el comportamiento malicioso. Consta de 14 tácticas que describen el motivo del ataque. Las tácticas incluyen:

1. Reconocimiento: incluye métodos utilizados para recopilar información del objetivo en preparación para ataques dirigidos en el futuro.
2. Desarrollo de recursos: Incluye la configuración de recursos para planificar o lanzar el ataque en el futuro.
3. Acceso inicial: incluye métodos utilizados por los atacantes para establecer puntos de entrada iniciales a una red a través de varios vectores de ataque, como ataques de ingeniería social, robo de credenciales, etc.
4. Ejecución: incluye la instalación de malware en los sistemas locales o remotos comprometidos.
5. Persistencia: Incluye mantener el acceso al sistema comprometido incluso en caso de apagado o modificaciones del sistema.
6. Escalada de privilegios: esto incluye adquirir acceso de alto nivel dentro de la red de su empresa.
7. Evasión de defensa: Incluye el empleo de técnicas para evitar ser detectado después de ingresar a la red.
8. Acceso a credenciales: esto incluye la adquisición de nombres de usuario, contraseñas y otras credenciales de inicio de sesión.
9. Descubrimiento: incluye la recopilación de información sobre el entorno de destino para identificar recursos accesibles o controlables que pueden ayudar a ejecutar un ataque planificado.
10. Movimiento lateral: incluye controlar sistemas dentro de una red y moverse lateralmente para acceder a recursos y sistemas adicionales.
11. Recopilación: incluye el empleo de varios métodos para recopilar información de fuentes apropiadas dentro de su organización.
12. Mando y control: Incluye la creación de canales de comunicación secretos e imposibles de rastrear para obtener control sobre el sistema.
13. Exfiltración: incluye la implementación de métodos que recuperan datos de su red de forma ilícita.
14. Impacto: incluye alterar la disponibilidad o integridad de los datos e interferir con las operaciones comerciales al interrumpir, corromper, deshabilitar o destruir datos o procesos comerciales.

Cadena de muerte cibernética vs. MITRE ATT&CK: Diferencias clave

Cyber Kill Chain de Lockheed Martin y MITRE ATT&CK implican comprender cómo se desarrollan los ataques cibernéticos; sin embargo, tienen algunas diferencias clave. Mientras que MITRE ATT&CK proporciona información detallada sobre diversas tácticas, técnicas y procedimientos utilizados por los atacantes, Cyber Kill Chain ofrece una descripción más general con siete tácticas.

Cyber Kill Chain se centra en la idea de que romper cualquiera de las siete tácticas interrumpirá un ataque, mientras que MITRE ATT&CK se centra en comprender y contrarrestar tácticas y técnicas individuales en cualquier contexto en el que aparezcan. Además, Cyber Kill Chain no incluye detalles específicos para ataques móviles o ICS como lo hace MITRE ATT&CK.

Cyber Kill Chain versus ATT&CK: ¿Cuál es mejor?

Cyber Kill Chain tiene varias ventajas sobre MITRE ATT&CK, incluida su capacidad para fomentar la defensa proactiva al identificar las etapas de ataque y permitir a los defensores asignar inversiones en seguridad en función de las etapas más vulnerables. Sin embargo, también tiene limitaciones. Por ejemplo, es posible que no tenga en cuenta la creciente sofisticación de las amenazas y todos los posibles vectores de ataque. Además, su enfoque en el malware puede llevar a una falta de atención a otros tipos de ataques, como las amenazas internas.

El marco MITRE ATT&CK, por otro lado, ofrece una visión más completa y granular de las tácticas, técnicas y procedimientos utilizados por los actores de amenazas. Es dinámico y se actualiza continuamente para reflejar las últimas amenazas y tácticas, lo que lo convierte en un recurso valioso para las organizaciones. Sin embargo, puede resultar abrumador para los principiantes debido a su complejidad y al nivel de experiencia requerido, y puede requerir un monitoreo continuo de nuevas actualizaciones para garantizar la preparación para las últimas amenazas. Además, su naturaleza dinámica puede hacerlo menos eficaz a la hora de detectar e interrumpir ataques en tiempo real.

Elegir entre los modelos

La elección entre Cyber Kill Chain y MITRE ATT&CK depende en última instancia de las necesidades y objetivos específicos de la organización. Para organizaciones con recursos de ciberseguridad limitados o aquellas nuevas en ciberseguridad, Cyber Kill Chain puede ser un valioso punto de partida. Por otro lado, MITRE ATT&CK proporciona un nivel más profundo de análisis y orientación para organizaciones con necesidades de seguridad más sofisticadas.

Aplicando los modelos

Al revisar la arquitectura de seguridad, el marco MITRE ATT&CK se puede aplicar como una “lente” para evaluar qué técnicas y tácticas pueden ser mitigadas o detectadas por los controles actuales, y dónde deberían centrarse las nuevas soluciones. Además, el marco se puede utilizar para modelar las rutas de ataque y los TTP de adversarios avanzados, lo que permite a los equipos rojos simular ataques y mejorar las capacidades de detección y respuesta. El marco también proporciona una taxonomía consistente para indicadores de compromiso (IOC) y comportamientos de atacantes, lo que permite compartir información de manera efectiva dentro y entre organizaciones.

El panorama de amenazas en evolución

También es importante reconocer que el panorama de amenazas evoluciona constantemente y que con frecuencia surgen nuevas técnicas, tácticas y procedimientos de ataque. Como resultado, la matriz MITRE ATT&CK se actualiza periódicamente, lo que destaca la necesidad de que los equipos de seguridad ajusten continuamente sus protecciones y preparación a medida que los ataques se vuelven más avanzados.

Conclusión

Cyber Kill Chain y MITRE ATT&CK son dos marcos fundamentales para comprender y analizar los ciberataques. Si bien ambos marcos tienen sus fortalezas y debilidades, combinarlos en su estrategia defensiva puede proporcionar una comprensión clara del ciclo de vida del ciberataque. MITRE ATT&CK ofrece una visión amplia de las tácticas, técnicas y procedimientos utilizados por los actores de amenazas, mientras que Cyber Kill Chain proporciona un enfoque más estructurado para comprender el desarrollo de un ciberataque. Al integrar ambos marcos, puede reforzar sus defensas contra amenazas potenciales.