Analisando a Cadeia de Ataques Cibernéticos

Quando Usar

Use esta habilidade quando:

• Realizar análises pós-incidente para determinar até onde um adversário progrediu em uma sequência de ataque
• Projetar controles de defesa em camadas com o objetivo de interromper ataques na fase mais precoce possível
• Produzir relatórios de inteligência de ameaças que comuniquem a progressão do ataque a partes interessadas não técnicas

Não use esta habilidade como um framework isolado — combine com o MITRE ATT&CK para granularidade em nível de técnica além do que a cadeia de ataques de 7 fases oferece.

Pré-requisitos

• Linha do tempo do incidente completa com artefatos forenses mapeados para ações específicas do adversário
• Matriz MITRE ATT&CK Enterprise para mapeamento em nível de técnica dentro de cada fase da cadeia de ataques
• Acesso à inteligência de ameaças sobre a progressão típica da cadeia de ataques do grupo adversário suspeito
• Relatório pós-incidente ou linha do tempo de IR da equipe de resposta

Fluxo de Trabalho

Etapa 1: Mapear Ações Observadas para Fases da Cadeia de Ataques

A Cadeia de Ataques Cibernéticos da Lockheed Martin consiste em sete fases. Mapeie todas as ações observadas do adversário:

Fase 1 - Reconhecimento: O adversário coleta informações do alvo antes do ataque.

• Indicadores: Consultas DNS do IP do adversário, raspagem do LinkedIn, análise de postagens de emprego, varreduras Shodan da infraestrutura da organização

Fase 2 - Armamento: O adversário cria a ferramenta de ataque (malware + exploit).

• Indicadores: Timestamps de compilação de malware, metadados de documentos de exploit, artefatos de construtor em amostras de malware

Fase 3 - Entrega: O adversário transmite a arma para o alvo.

• Indicadores: E-mails de phishing, anexos maliciosos, downloads drive-by, drops de USB, comprometimento da cadeia de suprimentos

Fase 4 - Exploração: O adversário explora uma vulnerabilidade para executar código.

• Indicadores: Eventos de exploração de CVE em logs de aplicativos/SO, artefatos de corrupção de memória, execução de shellcode

Fase 5 - Instalação: O adversário estabelece persistência no alvo.

• Indicadores: Novas tarefas agendadas, chaves de execução do registro, instalação de serviços, web shells, bootkits

Fase 6 - Comando e Controle (C2): O adversário se comunica com o sistema comprometido.

• Indicadores: Tráfego de beaconing (intervalos regulares), tunneling DNS, HTTPS para domínios incomuns, assinaturas de framework C2 (Cobalt Strike, Sliver)

Fase 7 - Ações sobre Objetivos: O adversário atinge seus objetivos.

• Indicadores: Estágio/exfiltração de dados, movimento lateral, execução de ransomware, atividade destrutiva

Etapa 2: Identificar Conclusão de Fase e Pontos de Detecção

Crie uma matriz de fases para o incidente:

Phase 1: Recon        → Completed (undetected)
Phase 2: Weaponize    → Completed (undetected — pre-attack)
Phase 3: Delivery     → Completed; phishing email bypassed SEG
Phase 4: Exploit      → Completed; CVE-2023-23397 exploited
Phase 5: Install      → DETECTED: EDR flagged scheduled task creation (attack stalled here)
Phase 6: C2           → Not achieved (installation blocked)
Phase 7: Objectives   → Not achieved

Para cada fase concluída sem detecção, documente a lacuna de controle defensivo.

Etapa 3: Mapear para MITRE ATT&CK para Detalhes de Técnica

Cada fase da cadeia de ataques mapeia para várias táticas ATT&CK:

• Entrega → Acesso Inicial (TA0001)
• Exploração → Execução (TA0002)
• Instalação → Persistência (TA0003), Escalação de Privilégios (TA0004)
• C2 → Comando e Controle (TA0011)
• Ações sobre Objetivos → Exfiltração (TA0010), Impacto (TA0040)

Dentro de cada fase, enumere técnicas ATT&CK específicas observadas e mapeie para detecções existentes.

Etapa 4: Identificar Cursos de Ação por Fase

Para cada fase, documente os cursos de ação defensivos (COAs) aplicáveis:

• COA de Detecção: Qual detecção alertaria sobre a atividade do adversário nesta fase?
• COA de Negação: Qual controle impediria o adversário de completar esta fase?
• COA de Interrupção: Qual controle interromperia o adversário no meio da fase?
• COA de Degradação: Qual controle reduziria a eficácia do adversário nesta fase?
• COA de Engano: Qual engano (honeypots, canary tokens) exporia a atividade nesta fase?
• COA de Destruição: Qual capacidade de defesa ativa neutralizaria a infraestrutura do adversário?

Etapa 5: Produzir Relatório de Análise da Cadeia de Ataques

Estruture os achados como:

1. Narrativa do ataque (linha do tempo das fases)
2. Análise fase a fase com evidências
3. Análise dos pontos de detecção (o que funcionou, o que falhou)
4. Recomendação defensiva por fase priorizada por custo/eficácia
5. Roteiro de melhoria de controle

Conceitos Chave

…