O que é a cadeia de ataque cibernético? Etapas, exemplos e como interrompê-la

Todo ataque cibernético segue um caminho. O invasor precisa entrar, estabelecer uma posição inicial, se deslocar pelo ambiente e, por fim, atingir seu objetivo. Esse caminho não é aleatório. Ele segue uma sequência reconhecível de etapas, e a cadeia de ataque cibernético oferece às equipes de segurança uma estrutura para compreender exatamente como é essa sequência e onde ela pode ser interrompida.

Para os MSPs e equipes de TI que protegem ambientes complexos e distribuídos, a cadeia de ataque é mais do que um modelo teórico. É uma perspectiva prática para mapear os controles de segurança em relação à progressão real de um ataque e identificar onde as lacunas na cobertura deixam as organizações expostas. Ferramentas como o Datto EDR, o Kaseya SIEM e o Kaseya MDR foram desenvolvidas para interromper os invasores em várias etapas dessa cadeia, antes que os danos atinjam os estágios dos quais é mais difícil se recuperar.

O que é a cadeia de ataque cibernético?

A cadeia de ataque cibernético é uma estrutura que mapeia as etapas de um ataque cibernético, desde o reconhecimento inicial até o momento em que o invasor alcança seu objetivo final. Ela foi desenvolvida pela Lockheed Martin em 2011, adaptada do conceito militar de “cadeia de ataque”, que divide um confronto com o inimigo em etapas identificáveis, cada uma das quais pode ser alvo de ação e ser interrompida.

Na segurança cibernética, o modelo tem a mesma finalidade. Ao compreender a sequência que um invasor deve seguir, as equipes de segurança podem identificar pontos de controle em cada etapa nos quais o ataque pode ser detectado, retardado ou totalmente interrompido. Um invasor que for bloqueado na segunda etapa nunca chega à quinta etapa. Um invasor que for detectado na quarta etapa pode ser contido antes de chegar à sétima etapa.

A estrutura foi originalmente concebida tendo em mente as ameaças persistentes avançadas (APTs): ataques sofisticados e de longa duração, realizados por adversários com recursos consideráveis que planejam cuidadosamente antes de agir. Ela continua sendo mais diretamente aplicável a esses tipos de ameaças, embora sua lógica se aplique de maneira ampla à forma como as equipes de segurança concebem as defesas em camadas contra qualquer ataque estruturado.

As 7 etapas da cadeia de ataque cibernético

O modelo original da Lockheed Martin define sete etapas sequenciais. Cada etapa representa um ponto em que os defensores podem intervir.

Etapa 1: Reconhecimento

Antes de lançar um ataque, o invasor coleta informações sobre o alvo. Isso inclui identificar dados disponíveis publicamente sobre a infraestrutura da organização, endereços de e-mail dos funcionários, anúncios de vagas que revelam as tecnologias em uso, perfis nas redes sociais e quaisquer sistemas voltados para o exterior que possam servir como pontos de entrada.

O reconhecimento pode ser passivo, utilizando inteligência de fontes abertas (OSINT) sem acessar diretamente os sistemas do alvo, ou ativo, envolvendo a verificação de portas abertas, a identificação de versões de software e a busca por vulnerabilidades. Quanto mais informações um invasor coletar nessa fase, mais preciso e convincente o ataque se tornará nas etapas subsequentes.

Foco defensivo: monitoramento de atividades externas de varredura, limitação das informações técnicas disponíveis publicamente e controle dos sistemas voltados para os funcionários que estão expostos à internet.

Etapa 2: Transformação em arma

O invasor utiliza o que aprendeu durante o reconhecimento para criar ou montar sua carga de ataque. Isso geralmente envolve a criação de arquivos maliciosos projetados para explorar uma vulnerabilidade específica identificada no ambiente do alvo. Um documento de phishing com uma macro incorporada que distribui um trojan de acesso remoto, um PDF malicioso que explora uma vulnerabilidade do leitor ou um dropper que instala ransomware ao ser executado são todos exemplos de “weaponization”.

Os defensores raramente têm visibilidade direta dessa etapa, uma vez que ela ocorre inteiramente na infraestrutura controlada pelo invasor. O foco aqui é reduzir a superfície de ataque exposta pelo reconhecimento: corrigir vulnerabilidades conhecidas remove rapidamente as armas que o invasor planejava usar.

Etapa 3: Entrega

O invasor envia a carga maliciosa ao alvo. O e-mail é o mecanismo de entrega mais comum, por meio de campanhas de phishing que contêm anexos ou links maliciosos. Outros métodos de entrega incluem sites comprometidos que realizam downloads automáticos, pen drives maliciosos, atualizações de software de terceiros comprometidas (ataques à cadeia de suprimentos) e a exploração de serviços expostos à Internet.

Foco defensivo: a filtragem de e-mails, a filtragem da web, a proteção de DNS e o treinamento de conscientização em segurança para usuários atuam na fase de entrega. Bloquear a entrega antes que a carga maliciosa chegue a um dispositivo é a ação defensiva de maior impacto disponível, pois impede que todas as etapas subsequentes ocorram.

Etapa 4: Exploração

Assim que a carga útil atinge o alvo, ela é executada e explora uma vulnerabilidade para obter acesso inicial. Pode se tratar de uma vulnerabilidade de software em um aplicativo sem patch, uma exploração de navegador acionada ao acessar uma página maliciosa ou uma macro executada em um documento do Office após o usuário clicar em “Ativar Conteúdo”.

É nesse momento que o invasor passa de fora do ambiente para dentro dele. A exploração é a fase que as ferramentas de detecção em terminais foram especificamente projetadas para identificar: a análise comportamental identifica a atividade anômala dos processos que se segue a uma exploração bem-sucedida, mesmo quando a própria vulnerabilidade não era conhecida previamente.

Etapa 5: Instalação

Uma vez estabelecido o acesso inicial, o invasor instala um malware persistente ou um backdoor para manter sua presença, mesmo que o ponto de entrada original seja fechado. Mecanismos comuns de persistência incluem a criação de chaves de execução no Registro, a instalação de tarefas agendadas, a adição de entradas na inicialização ou a implantação de um trojan de acesso remoto que se comunica com a infraestrutura de comando e controle controlada pelo invasor.

O objetivo é sobreviver a uma reinicialização, a uma alteração de senha ou a um patch que corrija a vulnerabilidade original. Sem uma instalação persistente, o invasor perde o acesso no momento em que a sessão termina. As ferramentas de EDR com telemetria contínua dos terminais são especificamente capazes de detectar as modificações no Registro, novas tarefas agendadas e a criação de processos incomuns que caracterizam essa etapa.

Etapa 6: Comando e controle (C2)

O malware instalado estabelece um canal de comunicação com a infraestrutura controlada pelo invasor. Por meio desse canal, o invasor pode emitir comandos, receber dados, implantar ferramentas adicionais e orientar remotamente as próximas fases do ataque. O tráfego C2 costuma ser disfarçado como tráfego legítimo da web, roteado por meio de serviços populares na nuvem ou criptografado para evitar a detecção.

Essa etapa representa uma oportunidade crítica de detecção. A comunicação C2 precisa atravessar os limites da rede, o que significa que as ferramentas de monitoramento de rede e a filtragem de DNS podem detectá-la. Um terminal que tenha sido comprometido, mas cujo canal C2 esteja bloqueado, não pode receber comandos adicionais. Isolar o terminal nesse momento contém o incidente antes que o movimento lateral tenha início.

Etapa 7: Ações relacionadas aos objetivos

Na fase final, o invasor executa seu objetivo. Para invasores motivados por interesses financeiros, isso geralmente significa a implantação e criptografia de ransomware, a exfiltração de dados para extorsão ou venda, ou fraude financeira. Atores estatais podem buscar espionagem, destruição de sistemas críticos ou acesso persistente de longo prazo para uso futuro.

Essa é a fase mais prejudicial e mais onerosa em termos de recuperação. Ataques que chegam a afetar ações em alvos exigem uma resposta completa a incidentes: investigação forense, reconstrução do sistema, possível notificação às autoridades regulatórias e gestão da reputação. O objetivo principal de tudo o que antecede essa fase em uma estratégia defensiva é garantir que o invasor nunca chegue a esse ponto.

Exemplo de cadeia de ataque cibernético: um ataque de ransomware

Percorrer as sete etapas por meio de um exemplo concreto de ameaça ilustra como o modelo funciona na prática:

1. Reconhecimento: O invasor identifica uma empresa de manufatura de médio porte por meio de um anúncio de vaga que menciona uma versão específica de um software de ERP com uma vulnerabilidade conhecida. Ele também coleta nomes de funcionários e formatos de e-mail do LinkedIn.
2. Exploração: Utilizando os dados dos funcionários, eles criam um e-mail de phishing se passando por um fornecedor, anexando um documento que explora a vulnerabilidade do ERP e instala um trojan de acesso remoto ao ser executado.
3. Entrega: O e-mail de phishing é enviado a um funcionário do departamento de contas a pagar. Ele passa pelos filtros de e-mail porque o domínio do remetente é uma imitação convincente e o anexo não é sinalizado como um hash malicioso conhecido.
4. Exploração: O funcionário abre o anexo. A macro do documento é executada, explorando a vulnerabilidade e executando um comando do PowerShell que baixa o trojan de um servidor controlado pelo invasor.
5. Instalação: O trojan se instala como uma tarefa agendada, configurada para persistir mesmo após reinicializações. Ele começa a enviar sinais para a infraestrutura C2 a cada poucos minutos por HTTPS.
6. Comando e controle: O invasor confirma o acesso, instala ferramentas de extração de credenciais e passa vários dias se movimentando lateralmente pelo ambiente, mapeando compartilhamentos de arquivos e sistemas de backup antes de agir.
7. Ações relacionadas aos objetivos: O invasor distribui o ransomware pela rede simultaneamente a partir de vários terminais comprometidos. A criptografia de arquivos começa em dezenas de sistemas antes que qualquer alerta seja acionado.

Interromper essa cadeia na etapa três (filtragem de e-mail que interceptasse o envio da tentativa de phishing), na etapa quatro (detecção pela EDR da execução do PowerShell) ou na etapa seis (filtragem de DNS que bloqueasse o sinal C2) teria, em cada caso, evitado o resultado final. Quanto mais adiante na cadeia o invasor chegar antes de ser detectado, mais onerosa e complexa se torna a resposta.

Cadeia de ataque cibernético x MITRE ATT&CK: Qual é a diferença?

Ambas as estruturas mapeiam o comportamento dos invasores, mas operam em níveis diferentes de detalhe e têm finalidades distintas.

A cadeia de ataque cibernético é um modelo sequencial de alto nível. Ela descreve as principais fases de um ataque em ordem, tornando-se útil para o planejamento estratégico, a compreensão da progressão do ataque e a comunicação com partes interessadas sem conhecimentos técnicos. Suas sete etapas proporcionam às equipes de segurança um vocabulário comum para discutir em que ponto do ciclo de vida de um ataque uma ameaça foi detectada ou onde as defesas falharam.

O MITRE ATT&CK é uma base de conhecimento detalhada e continuamente atualizada sobre táticas, técnicas e procedimentos (TTPs) de invasores. Em vez de sete fases sequenciais, ele cataloga centenas de técnicas específicas organizadas por tática, extraídas de ataques observados no mundo real. Não se trata de um processo sequencial: um invasor pode utilizar técnicas de várias táticas do MITRE simultaneamente ou em ordens diferentes, dependendo do que encontrar.

As duas estruturas se complementam. A cadeia de ataque (kill chain) oferece uma visão estrutural da progressão de um ataque. O MITRE ATT&CK fornece os detalhes técnicos sobre exatamente como cada etapa dessa progressão é executada. As equipes de operações de segurança costumam utilizar a cadeia de ataque para a comunicação de incidentes e o planejamento estratégico de defesa, enquanto utilizam o MITRE ATT&CK para a engenharia de detecção, o mapeamento de alertas e a avaliação da cobertura das ferramentas.

O Datto EDR mapeia suas detecções para a estrutura MITRE ATT&CK, o que significa que os alertas são apresentados com o contexto da tática e da técnica que estão sendo utilizadas. Isso relaciona os detalhes técnicos do MITRE ao estágio da cadeia de ataque que eles representam, fornecendo aos analistas tanto a técnica específica que está sendo observada quanto sua posição na sequência mais ampla do ataque.

Limitações da cadeia de ataque cibernético

O modelo da cadeia de ataque tem utilidade real, mas também apresenta limitações significativas que as equipes de segurança precisam compreender.

O modelo pressupõe um ataque linear. O modelo original descreve uma progressão sequencial do estágio um ao estágio sete. Na prática, os ataques frequentemente pulam estágios, executam vários estágios simultaneamente ou retornam a estágios anteriores. Um invasor que já tenha acesso a credenciais obtidas em uma violação anterior pode pular completamente as etapas de reconhecimento e entrega.

Ele se concentra em ameaças baseadas no perímetro. O modelo foi concebido em uma época de redes locais com limites bem definidos. Ameaças internas, ataques nativos da nuvem, acesso comprometido de terceiros e ataques à cadeia de suprimentos não se encaixam perfeitamente na estrutura tradicional da cadeia de ataque.

Isso não leva em conta a velocidade dos ataques modernos. O Relatório Global de Resposta a Incidentes da Unit 42 de 2026 constatou que os ataques mais rápidos chegam à exfiltração de dados em até 72 minutos após o acesso inicial. O modelo da cadeia de ataque pressupõe que os defensores tenham tempo para detectar e responder em cada etapa. Diante de ataques automatizados e de rápida evolução, essa janela de oportunidade costuma ser mais estreita do que o modelo sugere.

Isso pode criar uma falsa sensação de completude. Uma organização que tenha implementado controles em todas as sete etapas da cadeia de ataque ainda pode apresentar lacunas significativas se esses controles não abordarem as técnicas específicas que os invasores utilizam em cada etapa. O MITRE ATT&CK é uma ferramenta mais adequada para avaliar a cobertura no nível das técnicas.

Como a cadeia de ataque cibernético pode melhorar a segurança?

Apesar de suas limitações, a cadeia de destruição continua sendo uma estrutura prática para o planejamento estruturado da defesa. Veja a seguir como aplicá-la:

• Mapeie seus controles para cada etapa: para cada uma das sete etapas, identifique quais ferramentas e processos você já possui para detectar ou prevenir atividades de invasores. As lacunas que surgem ao realizar esse exercício revelam onde é necessário investir.
• Priorize a interrupção nas fases iniciais: quanto mais cedo na cadeia de ataque você interromper um ataque, menor será o dano causado e mais simples será a correção. Os controles na fase de entrega (filtragem de e-mail, proteção de DNS) e na fase de exploração (aplicação de patches, detecção comportamental por EDR) proporcionam o maior retorno, pois impedem todas as fases posteriores.
• Utilize a abordagem da “cadeia de ataque” na análise de incidentes: após qualquer incidente de segurança, analise as etapas da cadeia de ataque e identifique em qual etapa o invasor foi detectado, até onde ele avançou antes da contenção e quais controles, se houvesse, teriam detectado o ataque mais cedo. Isso gera melhorias específicas e passíveis de implementação, em vez de conclusões genéricas do tipo “fortalecer a segurança”.
• Não confie apenas na cadeia de ataque: complemente-a com o MITRE ATT&CK para avaliar a cobertura da detecção no nível das técnicas e com inteligência de ameaças que reflita as TTPs específicas dos adversários que têm como alvo o seu setor.

Como a Kaseya interrompe a cadeia de ataque

A plataforma de segurança da Kaseya foi projetada para oferecer aos MSPs e às equipes de TI enxutas a capacidade de detectar e interromper ataques em várias etapas da cadeia de ataque simultaneamente, sem a necessidade de uma grande equipe interna de segurança para que ela funcione.

O Datto EDR atua nas fases de exploração, instalação e comando e controle. O monitoramento comportamental detecta execução anômala de processos, mecanismos de persistência e sinais de C2, com mais de 65 ações de resposta automatizadas para isolar, encerrar e colocar em quarentena antes que o movimento lateral tenha início. As detecções são mapeadas para o MITRE ATT&CK, fornecendo aos analistas contexto imediato sobre qual técnica está sendo utilizada e em que ponto da sequência de ataque ela se insere.

O Kaseya SIEM oferece visibilidade entre plataformas que abrange toda a cadeia de ataque, correlacionando dados de telemetria de mais de 60 fontes de dados em terminais, rede, identidade e nuvem. Eventos que, isoladamente, parecem não ter relação entre si — como uma tentativa de login malsucedida, a execução de um processo incomum ou tráfego de saída anômalo — tornam-se um padrão interligado da cadeia de ataque em um único incidente correlacionado. A retenção de logs por 400 dias possibilita a reconstrução forense necessária para determinar o tempo de permanência e o escopo total do ataque.

O Kaseya MDR incorpora uma camada de analistas que transforma a detecção em defesa ativa. Analistas de segurança sediados nos Estados Unidos monitoram seu ambiente 24 horas por dia, investigam ameaças confirmadas e executam medidas de contenção antes que os ataques avancem para estágios mais avançados, sem que você precise manter um SOC operando 24 horas por dia, 7 dias por semana para que isso funcione.

Juntas, essas capacidades abrangem toda a cadeia de ataque, desde os terminais até a nuvem, proporcionando aos MSPs e às equipes de TI a visibilidade e a capacidade de resposta necessárias para impedir os ataques muito antes que eles cheguem a afetar os alvos.