Cyber Kill Chain (Lockheed Martin)

Nota do capítulo 04 (Modelos e Frameworks para CTI).
Apresenta a Cyber Kill Chain: as sete etapas, o contexto de criação na era dos APT, o valor de quebrar a cadeia e as limitações que exigem combinação com ATT&CK, Diamond e VERIS.
Dialoga com o MITRE ATT&CK e o Diamond Model deste capítulo, e com os controles de priorização da seção 15.

1. Contexto e Posicionamento na Biblioteca

A Cyber Kill Chain foi publicada em 2011 por Eric Hutchins, Michael Cloppert e Rohan Amin, analistas da Lockheed Martin, no artigo Intelligence-Driven Computer Network Defense, e é o marco fundador da abordagem de inteligência aplicada à defesa. O contexto era a era dos APT: intrusões persistentes, patrocinadas por estados, nas quais a defesa baseada em lista de IOC perdia repetidamente, porque o adversário renovava os indicadores e mantinha o método. O insight do artigo foi focar a defesa na sequência de ações do adversário, que muda muito mais devagar do que os artefatos que ele troca.

Para a biblioteca, o Kill Chain é o modelo de leitura temporal da intrusão. O ATT&CK, na nota anterior, nomeia o comportamento em cada ponto, e o Diamond, nas notas vizinhas, estrutura cada observação; o Kill Chain organiza a progressão, e é o modelo que melhor comunica risco e progresso para audiências executivas. Ele também é o modelo historicamente mais criticado, e a leitura correta de suas limitações, feita nesta nota, é parte da maturidade analítica que a biblioteca propõe.

2. As Sete Etapas

O modelo divide a intrusão do adversário em sete etapas sequenciais, cada uma com definição, exemplo típico e foco defensivo correspondente. A tabela abaixo consolida o modelo com leitura aplicada.

A etapa de weaponization merece nota especial porque é a única praticamente invisível para a defesa do alvo: ela acontece na infraestrutura do adversário, antes do primeiro pacote na rede da vítima. O artigo original reconhece isso e propõe que a inteligência de terceiros, compartilhada por parceiros e por agências, seja a única forma de defesa antecipada nessa etapa, o que conecta o modelo ao compartilhamento de inteligência do TLP e do PLT.5 da seção 15.

O artigo original também propõe que cada etapa gere requisitos de inteligência próprios, com perguntas que o programa de CTI deve ser capaz de responder. O template abaixo transforma essas perguntas em um registro operacional, consumido pelo CTI.1 e revisado a cada ciclo de inteligência.

requisitos_inteligencia_por_fase:
  reconnaissance:
    - como o adversário escolhe alvos do nosso setor
    - que sinais de reconhecimento somos capazes de ver hoje
  weaponization:
    - que ferramentas e exploits estão em uso no grupo prioritário
  delivery:
    - por quais canais o adversário prefere entregar carga
    - qual o padrão de infraestrutura de entrega observado
  exploitation:
    - quais vulnerabilidades o grupo explora e em quais plataformas
  installation:
    - quais mecanismos de persistência predominam na campanha
  command_and_control:
    - qual o perfil de canal, protocolo e rotação de infraestrutura
  actions_on_objectives:
    - qual o objetivo declarado e o padrão de exfiltração ou impacto

3. A Filosofia de Quebrar a Cadeia

A proposição central do artigo é a assimetria de custo: o adversário precisa completar todas as etapas, e o defensor precisa vencer em apenas uma. Essa é a ideia de quebrar a cadeia, e ela tem consequência prática direta sobre investimento: não é necessário ser perfeito em todas as etapas, é necessário ser confiável em pelo menos uma, e o melhor retorno está nas etapas mais cedo possíveis, porque cada etapa posterior multiplica o custo de resposta. Uma intrusão detectada na entrega custa horas; a mesma intrusão detectada nas ações finais custa semanas e dados.

As categorias de resposta do artigo, conhecidas como cursos de ação, ampliam a ideia além do bloqueio. Para cada etapa, o defensor pode detectar, negar, interromper, degradar, enganar ou destruir a atividade, e a matriz que cruza etapas com categorias é o plano de defesa em formato completo. O engano, por exemplo, é resposta legítima na etapa de comando e controle, com serviços de sinkhole, e a interrupção na entrega é resposta de gateway. A matriz completa costuma ser demais para o primeiro ciclo, e a versão reduzida a detectar e interromper, com o resto como linha futura, já muda a conversa de investimento.

O artigo complementa a ideia com a defesa analítica contínua, na qual cada intrusão, inclusive a falha, alimenta matrizes de indicadores, respostas e lições que endurecem a próxima defesa. É o embrião do ciclo de inteligência integrado à operação que a biblioteca formaliza nos controles CTI.9 e INT.1, e é por isso que o Kill Chain permanece citado em programas maduros mesmo depois de criticado: a lógica de retorno por etapa sobreviveu à controvérsia sobre o modelo em si.

4. Valor Histórico e Limitações

O valor histórico do Kill Chain é difícil de exagerar. Ele popularizou a inteligência orientada a ameaças no mercado, deu às equipes de defesa um formato para organizar indicadores por fase e criou a linguagem de fase que o ATT&CK depois refinou em táticas. Muitas práticas atuais, do relatório de campanha ao heatmap de cobertura, são descendentes diretos do formato proposto em 2011, e o modelo continua sendo o primeiro contato didático de grande parte dos profissionais com a ideia de que a intrusão é um processo, e não um evento.

A adoção do modelo trouxe também um efeito colateral de vocabulário: fase virou sinônimo vago de etapa, e relatórios inteiros passaram a descrever atividades sem técnica nomeada. Esse empobrecimento não é culpa do modelo, mas do uso que se fez dele, e a correção é o par de leitura que esta biblioteca propõe: fase para a narrativa, técnica para a operação. A próxima seção detalha como extrair do modelo aquilo que ele sustenta com precisão, e a seção de limitações mostra onde ele precisa de companhia.

As limitações, porém, são reais e precisam ser assumidas com precisão.

• Linearidade: a intrusão real é iterativa, e o adversário volta a etapas anteriores repetidamente; a sequência rígida descreve o primeiro caminho, e não o processo completo.
• Cobertura centrada em intrusão externa: o modelo não representa ameaça interna, abuso de acesso legítimo e vazamento por funcionário, nos quais não existe cadeia de entrega e exploração externa.
• Ajuste fraco a ransomware moderno: operações de segunda linha compram acesso já instalado, e grande parte do Kill Chain acontece em outra organização; a cadeia da vítima começa nas etapas finais.
• Cegueira para supply chain: na intrusão via fornecedor ou atualização comprometida, a entrega e a exploração são legítimas do ponto de vista da vítima, e o modelo não oferece gancho de detecção.
• Viés de época: o modelo nasceu na era dos indicadores estáticos e do perímetro, e não captura a nuvem, a identidade como superfície principal e o abuso de ferramentas nativas com o rigor que o ATT&CK captura.
• Falta de granularidade técnica: etapas como command and control compram dezenas de comportamentos distintos, e o modelo não oferece vocabulário para a diferença entre beacon HTTPS e DNS tunneling; essa é a lacuna que o ATT&CK preenche.
• Percursos sem cadeia: ataque de exploração de serviço exposto direto à Internet, sem entrega, não cabe nas sete caixas sem forçar a leitura; o EASM cobre esse vetor de forma mais honesta.

A leitura correta não é descartar o modelo, e sim usá-lo onde ele é forte: na comunicação do ciclo de vida da intrusão externa, no planejamento de defesas por etapa e na organização de coleta de inteligência por fase. Para representação técnica detalhada, o ATT&CK assume; para estrutura de caso, o Diamond assume; para incidente consolidado, o VERIS assume.

Vale registrar ainda que o artigo original propunha duas cadeias: a de intrusão, detalhada aqui, e a de exfiltração, com etapas de definição de alvo, coleta, processamento, análise e reporte do adversário. A segunda cadeia é raramente citada e tem uso concreto no PIR, porque ajuda a formular os requisitos de inteligência do CTI.1 sobre o que o adversário quer exfiltrar e como processa o que rouba.

5. Uso Correto: Priorização de Defesas por Etapa

O uso de defesa que o modelo sustenta bem é a alocação de controles por etapa, com avaliação honesta de onde a organização quebra a cadeia hoje. A matriz de cursos de ação, proposta no artigo original, cruza cada etapa com as categorias de detectar, negar, interromper, degradar, enganar e destruir, e a versão prática reduzida a três perguntas já entrega o essencial: em qual etapa a organização detecta, em qual interrompe e em quais etapas opera às cegas.

A leitura da matriz orienta investimento com lógica de cadeia. Se a etapa de installation é o ponto de quebra mais confiável, o investimento em application control e em telemetria de persistência tem retorno maior que mais uma ferramenta de gateway, e a inteligência de ameaça deve alimentar as regras exatamente nessa etapa. O exercício completo, com o time de detecção e o de operações na mesma mesa, é o que transforma o modelo em plano, e é aplicado nos controles SIM.1 e PRT.1 da seção 15.

O mesmo exercício define o que a inteligência deve produzir para cada etapa, e essa tradução é o que impede o Kill Chain de virar slide. Na etapa de reconhecimento, o produto é o monitor de marca e a detecção de varredura na própria superfície; na entrega, é o padrão de infraestrutura e de remetentes da campanha; na instalação, é o catálogo de mecanismos de persistência em uso pelo grupo prioritário; nas ações finais, é o perfil de exfiltração e de impacto que orienta as regras de DLP e de volume. Cada produto citado tem dono, cadência e critério de qualidade, e a cadeia só vira programa quando esses quatro produtos existem.

A matriz também serve de contrato entre CTI e detecção, porque define o formato do pedido de regra. O fragmento abaixo registra, em formato declarativo, um pedido real nascido do mapeamento da seção 6, com fase, técnica e dados necessários, e esse formato é o que evita que o pedido de detecção vire pedido vago de mais telemetria.

pedido_deteccao:
  fase_kill_chain: installation
  tecnica_attack: T1547.001
  motivo: persistencia recorrente no grupo prioritario
  dados_necessarios:
    - evento de criacao/alteracao de valor de Run (Sysmon 13)
    - processo origem com carimbo e assinatura
  comportamento_esperado:
    - alerta quando processo sem assinatura escreve em chave de Run
  validacao: emulacao com Caldera e teste negativo de software legítimo
  dono: engenharia de deteccao
  prazo_revisao: 90 dias

6. Exemplo de Mapeamento com Lacunas

O mapeamento abaixo descreve uma intrusão de ransomware iniciada por phishing, marcando em cada etapa o que a organização detectou e o que ficou cego. O formato é o padrão desta biblioteca para casos reais, e o valor está nas células vazias, que viram backlog.

O caso ilustra a dinâmica real: a cadeia não foi quebrada na primeira etapa, foi quebrada na quarta, e cada lacuna identificada gerou controle novo. O relatório final do caso, no formato VERIS da nota seguinte, consolida o mesmo evento com a taxonomia de atos e atores, e a diferença entre os dois registros mostra a fronteira entre os modelos: o Kill Chain descreve a progressão e as lacunas, o VERIS descreve o incidente como registro comparável no tempo.

A caça retrospectiva por etapa, executada após a lacuna ser identificada, valida se o evento foi único. A consulta abaixo revisita a etapa de installation nos últimos 90 dias, buscando padrões de persistência que passaram sem detecção quando a regra não existia.

// Hunting retrospectivo de persistencia em chaves de autorun
DeviceRegistryEvents
| where Timestamp > ago(90d)
| where ActionType == "RegistryValueSet"
| where RegistryKey has "\\CurrentVersion\\Run"
| where isnotempty(InitiatingProcessFileName)
| summarize Valores = make_set(RegistryValueName) by InitiatingProcessFileName, DeviceName
| where array_length(Valores) >= 1

7. Erros Comuns e Pontos de Atenção

• Aplicar o modelo como verdade literal: usar as sete etapas como caminhos obrigatórios e únicos esconde intrusões que começam no meio, como acesso comprado e supply chain; trate a cadeia como esqueleto narrativo.
• Ignorar etapas pré-comprometimento: reconnaissance e weaponization produzem inteligência acionável, e a organização que só olha a partir da entrega perde a chance de se preparar antes.
• Usar o Kill Chain como inventário de detecção: o modelo não nomeia comportamento com precisão suficiente para regras; a tradução para técnicas do ATT&CK é obrigatória no fluxo técnico.
• Prometer quebra em todas as etapas: a filosofia do modelo é vencer em uma, e programas que espalham investimento fino em sete frentes terminam com sete coberturas fracas; escolha o ponto de quebra e reforce.
• Confundir fase com tática ATT&CK: as listas parecem, mas não correspondem um a um; a correspondência exige decisão por técnica, e não cópia de colunas.
• Contar etapa detectada como vitória: detectar na etapa final ainda é intrusão consumada; a métrica relevante é o tempo até a quebra e o custo do incidente, conforme o MET.3.
• Deixar a etapa de reconhecimento fora do monitor: o reconhecimento do adversário sobre a sua superfície é observável por CT e por monitor de marca, e ignorá-lo desperdiça a única etapa visível sem comprometimento.
• Tratar o modelo como checklist de relatório: narrativa em sete etapas sem técnica, sem evidência e sem confiança é o uso que desgastou o modelo; cada etapa citada deve carregar técnica ATT&CK e evidência.

8. Integração com o Restante da Biblioteca

O Kill Chain aparece em toda a biblioteca como leitura de fase: as hipóteses do TH.6 ganham contexto temporal quando ancoradas em fase, os relatórios do CTI.7 usam a sequência para narrar campanhas e o mapeamento de cobertura do MAP.2 usa a correspondência por tática do ATT&CK. No capítulo 04, ele é o modelo temporal que completa o ATT&CK, que nomeia, e o Diamond, que estrutura, e a nota seguinte sobre VERIS mostra o mesmo incidente visto como registro padronizado de atos, atores e impacto.

A síntese operacional desta nota é a matriz de etapas preenchida com honestidade, revisada a cada trimestre e alimentada pela inteligência dos grupos prioritários. Essa matriz, e não o diagrama de sete caixas, é o produto que sobreviveu de 2011 até aqui, porque transforma um modelo histórico em decisão de investimento com retorno mensurável.