Wat is de cyber-killchain? Stappen, voorbeelden en hoe je deze kunt verstoren

Elke cyberaanval volgt een bepaald traject. De aanvaller moet binnenkomen, voet aan de grond krijgen, zich door de omgeving verplaatsen en uiteindelijk zijn doel bereiken. Dat traject is niet willekeurig. Het volgt een herkenbare reeks fasen, en de cyber kill chain biedt beveiligingsteams een kader om precies te begrijpen hoe die reeks eruitziet en op welke punten deze kan worden doorbroken.

Voor MSP’s en IT-teams die complexe, gedistribueerde omgevingen beveiligen, is de ‘kill chain’ meer dan alleen een theoretisch model. Het is een praktisch kader om beveiligingsmaatregelen af te zetten tegen het daadwerkelijke verloop van een aanval en om vast te stellen waar hiaten in de beveiliging organisaties kwetsbaar maken. Tools zoals Datto EDR, Kaseya SIEM en Kaseya MDR zijn ontworpen om aanvallers in verschillende fasen van die keten te stoppen, voordat de schade de stadia bereikt waaruit herstel het moeilijkst is.

Wat is de cyber kill chain?

De cyber kill chain is een raamwerk dat de fasen van een cyberaanval in kaart brengt, vanaf de eerste verkenning tot het moment waarop de aanvaller zijn uiteindelijke doel bereikt. Het is in 2011 ontwikkeld door Lockheed Martin, in navolging van het militaire concept van een ‘kill chain’, waarbij een gevecht met de vijand wordt opgesplitst in herkenbare stappen die elk afzonderlijk kunnen worden aangepakt en verstoord.

Op het gebied van cyberbeveiliging dient het model hetzelfde doel. Door inzicht te krijgen in de volgorde die een aanvaller moet volgen, kunnen beveiligingsteams in elke fase controlepunten identificeren waar de aanval kan worden gedetecteerd, vertraagd of volledig gestopt. Een aanvaller die in fase twee wordt tegengehouden, bereikt fase vijf nooit. Een aanvaller die in fase vier wordt gedetecteerd, kan worden ingeperkt voordat hij fase zeven bereikt.

Het raamwerk is oorspronkelijk ontworpen met het oog op geavanceerde, aanhoudende bedreigingen (APT’s): geavanceerde, langdurige aanvallen die worden uitgevoerd door tegenstanders met ruime middelen, die zorgvuldig plannen voordat ze tot actie overgaan. Het raamwerk blijft het meest direct toepasbaar op dit soort bedreigingen, hoewel de onderliggende logica in bredere zin van toepassing is op de manier waarop beveiligingsteams nadenken over gelaagde verdedigingsmechanismen tegen elke gestructureerde aanval.

De 7 stappen van de cyber-killchain

Het oorspronkelijke model van Lockheed Martin omvat zeven opeenvolgende stappen. Elke stap vormt een moment waarop verdedigers kunnen ingrijpen.

Stap 1: Verkenning

Voordat de aanvaller een aanval uitvoert, verzamelt hij informatie over het doelwit. Hierbij gaat het onder meer om het in kaart brengen van openbaar beschikbare gegevens over de infrastructuur van de organisatie, e-mailadressen van medewerkers, vacatures waaruit blijkt welke technologie wordt gebruikt, profielen op sociale media en alle naar buiten gerichte systemen die als toegangspunten kunnen dienen.

Verkenning kan passief zijn, waarbij gebruik wordt gemaakt van open-source-informatie (OSINT) zonder de systemen van het doelwit rechtstreeks te raken, of actief, waarbij wordt gescand op open poorten, softwareversies worden geïdentificeerd en naar kwetsbaarheden wordt gezocht. Hoe meer informatie een aanvaller hier verzamelt, hoe nauwkeuriger en overtuigender de aanval verderop in het proces wordt.

Defensieve aanpak: toezicht houden op externe scanactiviteiten, het beperken van openbaar beschikbare technische informatie en het controleren welke systemen voor medewerkers toegankelijk zijn via het internet.

Stap 2: Toepassing als wapen

De aanvaller gebruikt de informatie die hij tijdens de verkenning heeft verzameld om zijn aanvalspayload samen te stellen of te bouwen. Dit houdt doorgaans in dat er schadelijke bestanden worden gemaakt die zijn ontworpen om misbruik te maken van een specifieke kwetsbaarheid die in de omgeving van het doelwit is geïdentificeerd. Een phishingdocument met een ingebedde macro die een trojan voor toegang op afstand verspreidt, een gemanipuleerde PDF die misbruik maakt van een kwetsbaarheid in een PDF-reader of een dropper die bij uitvoering ransomware installeert, zijn allemaal voorbeelden van ‘weaponization’.

Beveiligingsbeheerders hebben zelden rechtstreeks inzicht in deze fase, aangezien deze zich volledig afspeelt op infrastructuur die door de aanvaller wordt beheerd. De nadruk ligt hier op het verkleinen van het aanvalsoppervlak dat tijdens de verkenning aan het licht is gekomen: door bekende kwetsbaarheden snel te verhelpen, worden de middelen waarmee de aanvaller van plan was aan te vallen, uitgeschakeld.

Stap 3: Levering

De aanvaller bezorgt de kwaadaardige payload bij het doelwit. E-mail is de meest voorkomende manier om dit te doen, via phishingcampagnes met schadelijke bijlagen of links. Andere methoden zijn onder meer gehackte websites die drive-by-downloads uitvoeren, schadelijke USB-sticks, gehackte software-updates van derden (aanvallen via de toeleveringsketen) en het misbruiken van diensten die toegankelijk zijn via het internet.

Defensieve focus: e-mailfiltering, webfiltering, DNS-beveiliging en bewustwordingstrainingen voor gebruikers vinden allemaal plaats in de bezorgingsfase. Het blokkeren van de bezorging voordat de payload een apparaat bereikt, is de meest effectieve verdedigingsmaatregel die er is, omdat hierdoor alle volgende fasen worden voorkomen.

Stap 4: Benutting

Zodra de payload het doelwit bereikt, wordt deze uitgevoerd en maakt deze misbruik van een kwetsbaarheid om initiële toegang te verkrijgen. Dit kan een softwarekwetsbaarheid zijn in een niet-gepatchte toepassing, een browser-exploit die wordt geactiveerd door het bezoeken van een kwaadaardige pagina, of een macro die in een Office-document wordt uitgevoerd nadat de gebruiker op ‘Inhoud inschakelen’ heeft geklikt.

Dit is het moment waarop de aanvaller van buiten de omgeving naar binnen dringt. Exploitatie is de fase die endpoint-detectietools specifiek zijn ontworpen om op te sporen: gedragsanalyse brengt de afwijkende procesactiviteit aan het licht die volgt op een succesvolle exploitatie, zelfs wanneer de kwetsbaarheid zelf niet van tevoren bekend was.

Stap 5: Installatie

Zodra de aanvaller de eerste toegang heeft verkregen, installeert hij persistente malware of een achterdeur om zijn aanwezigheid te behouden, zelfs als het oorspronkelijke toegangspunt wordt afgesloten. Veelvoorkomende mechanismen voor persistentie zijn onder meer het aanmaken van run-sleutels in het register, het instellen van geplande taken, het toevoegen van opstartitems of het inzetten van een trojan voor toegang op afstand die contact zoekt met een door de aanvaller gecontroleerde command-and-control-infrastructuur.

Het doel is om een herstart, een wachtwoordwijziging of een patch die het oorspronkelijke beveiligingslek dicht, te overleven. Zonder een permanente installatie verliest de aanvaller de toegang zodra de sessie wordt beëindigd. EDR-tools met continue telemetrie van endpointsen zijn specifiek in staat om de wijzigingen in het register, nieuwe geplande taken en het aanmaken van ongebruikelijke processen te detecteren die kenmerkend zijn voor deze fase.

Stap 6: Commando en controle (C2)

De geïnstalleerde malware brengt een communicatiekanaal tot stand met de door de aanvaller beheerde infrastructuur. Via dit kanaal kan de aanvaller op afstand opdrachten geven, gegevens ontvangen, extra tools inzetten en de volgende fasen van de aanval aansturen. C2-verkeer wordt vaak vermomd als legitiem webverkeer, via populaire clouddiensten gerouteerd of versleuteld om detectie te voorkomen.

Deze fase biedt een cruciale kans om de aanval op te sporen. De C2-communicatie moet de netwerkgrens passeren, wat betekent dat netwerkmonitoringtools en DNS-filtering deze kunnen onderscheppen. Een endpoints dat is gehackt maar waarvan het C2-kanaal is geblokkeerd, kan niet verder worden gestuurd. Door het op dit punt te isoleren, wordt het incident ingeperkt voordat laterale bewegingen beginnen.

Stap 7: Maatregelen met betrekking tot de doelstellingen

In de laatste fase voert de aanvaller zijn doel uit. Voor financieel gemotiveerde aanvallers betekent dit doorgaans het inzetten van ransomware en het versleutelen van gegevens, het wegsluizen van gegevens met het oog op afpersing of verkoop, of financiële fraude. Actoren die namens een staat opereren, kunnen zich richten op spionage, het vernietigen van kritieke systemen of het verkrijgen van langdurige, permanente toegang voor toekomstig gebruik.

Dit is de fase waarvan het herstel de meeste schade en de hoogste kosten met zich meebrengt. Aanvallen die daadwerkelijk acties op doelwitten tot stand brengen, vereisen een volledige incidentrespons: forensisch onderzoek, het opnieuw opzetten van systemen, eventuele melding aan toezichthouders en reputatiemanagement. Het voornaamste doel van alles wat in een verdedigingsstrategie aan deze fase voorafgaat, is ervoor te zorgen dat de aanvaller hier nooit terechtkomt.

Voorbeeld van een cyber-kill-chain: een ransomware-aanval

Aan de hand van zeven stappen die een concreet dreigingstype doorlopen, wordt geïllustreerd hoe het model in de praktijk werkt:

1. Verkenning: De aanvaller identificeert een middelgroot productiebedrijf aan de hand van een vacature waarin wordt verwezen naar een specifieke versie van ERP-software met een bekend beveiligingslek. Daarnaast verzamelt hij via LinkedIn de namen van medewerkers en e-mailformaten.
2. Misbruik: Aan de hand van de werknemersgegevens stellen ze een phishing-e-mail op waarin ze zich voordoen als een leverancier. Bij de e-mail is een document gevoegd dat misbruik maakt van de kwetsbaarheid in het ERP-systeem en bij uitvoering een trojan voor toegang op afstand op de computer installeert.
3. Verzending: De phishing-e-mail wordt naar een medewerker van de crediteurenadministratie gestuurd. De e-mail komt door de e-mailfilters heen omdat het domein van de afzender een overtuigende kopie is en de bijlage niet wordt gemarkeerd als een bekende schadelijke hash.
4. Misbruik: De medewerker opent de bijlage. De macro in het document wordt uitgevoerd, waardoor misbruik wordt gemaakt van de kwetsbaarheid en een PowerShell-opdracht wordt uitgevoerd die de trojan downloadt van een door de aanvaller beheerde server.
5. Installatie: De trojan installeert zichzelf als een geplande taak, die zo is geconfigureerd dat deze ook na een herstart blijft bestaan. De trojan begint om de paar minuten via HTTPS signalen naar de C2-infrastructuur te verzenden.
6. Beheer en controle: De aanvaller controleert of hij toegang heeft, zet tools in om inloggegevens te stelen en besteedt enkele dagen aan het zich lateraal verplaatsen door de omgeving, waarbij hij bestandsdelingen en back-upsystemen in kaart brengt voordat hij tot actie overgaat.
7. Acties gericht op doelstellingen: De aanvaller verspreidt de ransomware gelijktijdig over het netwerk vanaf meerdere gehackte endpointsen. De versleuteling van bestanden begint op tientallen systemen voordat er ook maar één waarschuwing wordt geactiveerd.

Als deze keten in stap drie (e-mailfiltering die de phishing-bericht detecteert), stap vier (EDR die de uitvoering van PowerShell detecteert) of stap zes (DNS-filtering die het C2-signaal blokkeert) was doorbroken, zou het uiteindelijke resultaat in elk van deze gevallen zijn voorkomen. Hoe verder de aanvaller in de keten komt voordat hij wordt gedetecteerd, hoe duurder en complexer de reactie wordt.

Cyber kill chain versus MITRE ATT&CK: wat is het verschil?

Beide raamwerken brengen het gedrag van aanvallers in kaart, maar ze werken op verschillende detailniveaus en dienen verschillende doelen.

De cyber kill chain is een sequentieel model op hoog niveau. Het beschrijft de algemene fasen van een aanval in chronologische volgorde, waardoor het nuttig is voor strategische planning, het begrijpen van het verloop van een aanval en de communicatie met niet-technische belanghebbenden. De zeven stappen bieden beveiligingsteams een gemeenschappelijke terminologie om te bespreken op welk punt in de levenscyclus van een aanval een dreiging is gedetecteerd of waar de verdedigingsmaatregelen hebben gefaald.

MITRE ATT&CK is een gedetailleerde, voortdurend bijgewerkte kennisbank van tactieken, technieken en procedures (TTP's) van aanvallers. In plaats van zeven opeenvolgende fasen bevat het honderden specifieke technieken, ingedeeld per tactiek, die zijn ontleend aan waargenomen aanvallen in de praktijk. Het is geen lineair proces: een aanvaller kan technieken uit meerdere MITRE-tactieken tegelijkertijd of in verschillende volgordes toepassen, afhankelijk van wat hij tegenkomt.

De twee raamwerken vullen elkaar aan. De kill chain biedt een structureel overzicht van het verloop van een aanval. MITRE ATT&CK biedt de technische details over hoe elke fase van dat verloop precies wordt uitgevoerd. Beveiligingsteams gebruiken de kill chain vaak voor de communicatie over incidenten en strategische verdedigingsplanning, terwijl ze MITRE ATT&CK inzetten voor detectietechnieken, het in kaart brengen van waarschuwingen en het evalueren van de dekking van tools.

Datto EDR koppelt zijn detecties aan het MITRE ATT&CK-raamwerk, wat betekent dat waarschuwingen worden weergegeven in de context van de tactiek en techniek die worden gebruikt. Hierdoor worden de technische details van MITRE gekoppeld aan de fase van de kill chain die ze vertegenwoordigen, waardoor analisten zowel inzicht krijgen in de specifieke techniek die wordt waargenomen als in de plaats die deze inneemt in de bredere aanvalsreeks.

Beperkingen van de cyber-kill-chain

Het ‘kill chain’-model is zeer nuttig, maar kent ook belangrijke beperkingen waarvan beveiligingsteams zich bewust moeten zijn.

Er wordt uitgegaan van een lineaire aanval. Het oorspronkelijke model beschrijft een opeenvolgende ontwikkeling van fase één tot en met fase zeven. Bij echte aanvallen worden fasen echter vaak overgeslagen, worden meerdere fasen tegelijkertijd uitgevoerd of wordt teruggekeerd naar eerdere fasen. Een aanvaller die al over inloggegevens beschikt uit een eerdere inbreuk, zou de verkennings- en uitvoeringsfase volledig kunnen overslaan.

Het richt zich op bedreigingen die vanuit de perimeter komen. Het model is ontworpen in een tijdperk van lokale netwerken met duidelijke grenzen. Bedreigingen van binnenuit, cloud-native aanvallen, gecompromitteerde toegang door derden en aanvallen via de toeleveringsketen laten zich niet eenduidig inpassen in de traditionele kill chain-structuur.

Het houdt geen rekening met de snelheid van moderne aanvallen. Uit het „Unit 42 Global Incident Response Report 2026” blijkt dat bij de snelste aanvallen de gegevens al binnen 72 minuten na de eerste toegang worden gestolen. Het „kill chain”-model gaat ervan uit dat verdedigers in elke fase tijd hebben om de aanval te detecteren en erop te reageren. Bij snel verlopende, geautomatiseerde aanvallen is die tijdspanne vaak korter dan het model suggereert.

Dit kan een vals gevoel van volledigheid wekken. Een organisatie die in alle zeven fasen van de kill chain beveiligingsmaatregelen heeft ingevoerd, kan nog steeds aanzienlijke hiaten vertonen als die maatregelen geen rekening houden met de specifieke technieken die aanvallers in elke fase gebruiken. MITRE ATT&CK is een beter hulpmiddel om de dekking op techniekniveau te beoordelen.

Hoe kan de cyber kill chain de beveiliging verbeteren?

Ondanks zijn beperkingen blijft de ‘kill chain’ een praktisch kader voor gestructureerde defensieplanning. Zo pas je het toe:

• Breng uw beveiligingsmaatregelen in kaart per fase: breng voor elk van de zeven fasen in kaart welke hulpmiddelen en processen u inzet om activiteiten van aanvallers op te sporen of te voorkomen. De hiaten die bij deze oefening aan het licht komen, laten zien waar investeringen nodig zijn.
• Geef prioriteit aan het in een vroeg stadium stoppen van aanvallen: hoe eerder in de ‘kill chain’ je een aanval stopt, hoe minder schade deze aanricht en hoe eenvoudiger het herstel is. Maatregelen bij de levering (e-mailfiltering, DNS-beveiliging) en bij het misbruik (patches, EDR-gedragsdetectie) leveren het hoogste rendement op, omdat ze alle volgende fasen voorkomen.
• Pas de ‘kill chain’-benadering toe bij de evaluatie van incidenten: loop na elk beveiligingsincident de stappen van de kill chain door en breng in kaart in welke stap de aanvaller werd gedetecteerd, hoever hij was gevorderd voordat de aanval werd ingeperkt en welke beveiligingsmaatregelen – indien aanwezig – de aanval eerder hadden kunnen opsporen. Dit leidt tot specifieke, concrete verbeterpunten in plaats van algemene conclusies als ‘de beveiliging versterken’.
• Vertrouw niet alleen op de kill chain: vul deze aan met MITRE ATT&CK voor een beoordeling van de detectiedekking op techniekniveau en met dreigingsinformatie die de specifieke TTP’s weergeeft van aanvallers die het op uw sector gemunt hebben.

Hoe Kaseya de kill chain doorbreekt

Het beveiligingsplatform van Kaseya is ontworpen om MSP’s en kleine IT-teams de mogelijkheid te bieden om aanvallen in meerdere fasen van de kill chain tegelijkertijd te detecteren en te stoppen, zonder dat daarvoor een groot intern beveiligingsteam nodig is.

Datto EDR is actief in de fasen van exploitatie, installatie en command-and-control. Gedragsmonitoring detecteert afwijkende procesuitvoering, persistentiemechanismen en C2-beaconing, met meer dan 65 geautomatiseerde reactieacties om systemen te isoleren, te beëindigen en in quarantaine te plaatsen voordat laterale beweging begint. Detecties worden gekoppeld aan MITRE ATT&CK, waardoor analisten direct inzicht krijgen in welke techniek wordt gebruikt en waar deze zich in de aanvalsreeks bevindt.

Kaseya SIEM biedt platformoverschrijdend inzicht dat de gehele kill chain bestrijkt, waarbij telemetrie uit meer dan 60 gegevensbronnen – variërend van endpointsen, het netwerk en identiteitsbeheer tot de cloud – met elkaar wordt gecorreleerd. Gebeurtenissen die op zichzelf los van elkaar lijken te staan – zoals een mislukte aanmelding, het starten van een ongebruikelijk proces of afwijkend uitgaand verkeer – vormen samen een samenhangend kill chain-patroon in één gecorreleerd incident. Dankzij de bewaartermijn van 400 dagen voor logbestanden is forensische reconstructie mogelijk, wat nodig is om de verblijftijd en de volledige omvang vast te stellen.

Kaseya MDR voegt de analistenlaag toe die detectie omzet in actieve verdediging. Beveiligingsanalisten in de VS houden uw omgeving 24 uur per dag in de gaten, onderzoeken bevestigde bedreigingen en nemen inperkingsmaatregelen voordat aanvallen zich tot latere stadia ontwikkelen, zonder dat u daarvoor een 24/7 SOC hoeft te bemannen.

Samen bestrijken deze mogelijkheden de volledige aanvalsketen, van endpoints tot cloud, waardoor MSP’s en IT-teams over het nodige inzicht en de nodige reactiemogelijkheden beschikken om aanvallen te stoppen lang voordat deze hun doel kunnen bereiken.