Articolo Pubblicazioni

La Cyber Kill Chain (2011): le fasi di un attacco e come interromperle

di · Pubblicato il 4 settembre 2011 - Aggiornato il 14 novembre 2026 · Tratto da «Metodologia di Attacco e Tecniche di Difesa»

Abstract

L’articolo riprende il seminario «Metodologia di Attacco e Tecniche di Difesa» del 4 settembre 2011 e ne ordina i contenuti secondo la Cyber Kill Chain, il modello in sette fasi pubblicato lo stesso anno da un gruppo di analisti di Lockheed Martin. Per ogni fase, dalla ricognizione alle azioni sull’obiettivo, descrive le tecniche di attacco trattate nel seminario, come il phishing, le backdoor, il pharming, il denial of service e lo sniffing, e le contromisure, dall’antivirus ai log, dai firewall con IPS alla segmentazione della rete.

Vincenzo Calabrò | La Cyber Kill Chain (2011): le fasi di un attacco e come interromperle
 

Un modello per leggere gli attacchi

Nel 2011 Eric Hutchins, Michael Cloppert e Rohan Amin, analisti di Lockheed Martin, pubblicarono un articolo sulla difesa guidata dall’intelligence che descriveva un’intrusione come una catena di sette fasi. Bastava interrompere un anello perché l’attacco fallisse. Il modello è noto come Cyber Kill Chain. I contenuti del seminario di quell’anno su metodologia di attacco e tecniche di difesa si dispongono bene lungo le stesse fasi, e così sono presentati qui.
Il seminario partiva dal contesto. L’informazione digitale è più economica e veloce da trasmettere, copiare, modificare e cancellare, e quindi anche da intercettare, sottrarre, alterare e distruggere. Ogni antenna Wi-Fi, numero di telefono, smartphone, computer collegato, casella di posta, sito di commercio elettronico, profilo social e servizio con login e password è una porta di uscita e insieme una porta di ingresso verso le nostre informazioni.

1. Ricognizione

L’attaccante raccoglie informazioni sul bersaglio. Il seminario insisteva su un punto. Le obiezioni più comuni, come «non sono un obiettivo interessante» o «non ho informazioni di valore», sono sbagliate, perché ogni account ha un valore economico. Permette a un criminale di agire nascondendo la propria identità. Ogni computer offre spazio su disco, un’origine con cui mascherare le azioni criminali e un nodo da arruolare in una rete di computer zombie. Ogni profilo, con relazioni, interessi e siti visitati, serve alla pubblicità, alle truffe mirate e in qualche caso al ricatto. Valgono ancora di più i conti online, le carte di credito, gli accessi a servizi aziendali riservati e le informazioni su ricerche, concorsi, appalti e strategie.
Anche gli attaccanti sono cambiati. Ai ragazzi che volevano superare le barriere per difficoltà si sono sostituiti professionisti che vogliono denaro o informazioni da trasformare in denaro, e possono trovarsi ovunque nel mondo.

2. Preparazione dell’arma

L’attaccante prepara lo strumento. Il seminario descriveva le famiglie principali:
  • il virus, codice che si inserisce in altri programmi, si copia e dopo un certo tempo esegue l’azione per cui è stato scritto;
  • il worm, che si replica da solo senza legarsi ad altri eseguibili;
  • il macro virus, contenuto in documenti come quelli di Word ed Excel;
  • il trojan, che non danneggia direttamente il sistema ma consente all’autore di prenderne il controllo;
  • lo spyware, che raccoglie informazioni sull’attività dell’utente e le trasmette a chi le sfrutterà.

3. Consegna

Il veicolo più comune è la posta elettronica. Il phishing usa messaggi che sembrano provenire da un sito noto e invitano la vittima a reinserire i propri dati, compresi password e numero di carta, in una pagina identica a quella originale. Le esche citate nel seminario erano tipiche, dalla vincita alla lotteria alla fattura non pagata con un archivio compresso allegato, dalla donazione di una persona in punto di morte al falso avviso di un ordine bloccato. Altri veicoli sono i programmi passati da amici in buona fede e le cartelle condivise.

4. Sfruttamento

L’arma agisce sfruttando una debolezza tecnica o umana. Il pharming altera la risoluzione dei nomi, così che l’utente digiti l’indirizzo corretto della propria banca e arrivi al server dei criminali, che espone una copia identica del sito. Le reti Wi-Fi mal configurate e i servizi esposti senza protezione offrono altri punti di ingresso.

5. Installazione

Una volta dentro, l’attaccante si assicura di poter tornare. La backdoor è un ingresso di servizio nascosto che gli permette di diventare amministratore del sistema, e cambiare le password o eliminare qualche account non la chiude. Per questo, dopo averla installata, l’attaccante cerca di cancellare le tracce lasciate nei log.

6. Comando e controllo

I computer compromessi ricevono istruzioni da remoto. Riuniti in botnet, diventano risorse dell’attaccante, che li usa per nascondere l’origine delle proprie azioni, ospitare materiale illecito o lanciare attacchi.

7. Azioni sull’obiettivo

L’ultima fase è lo scopo dell’attacco. Può essere il furto di credenziali e dati personali, l’intercettazione del traffico con uno sniffer, che decodifica i pacchetti e ricostruisce lo scambio fra le applicazioni, o l’interruzione di un servizio con un attacco denial of service, che esaurisce le risorse di un sistema fino a renderlo indisponibile.

Interrompere la catena

Le difese indicate nel seminario coprono più fasi della catena:
  • l’antivirus, che blocca l’esecuzione o il salvataggio del malware noto ma dipende da un catalogo aggiornato dopo la comparsa di ogni nuovo codice, e quindi non protegge al cento per cento;
  • i log, che registrano passaggi e modifiche e sono il primo nemico dell’intruso, purché siano conservati dove l’intruso non può cancellarli;
  • il firewall, che filtra il traffico secondo regole, affiancato da un sistema di prevenzione delle intrusioni (IPS) capace di analizzare il contenuto delle connessioni consentite;
  • una rete segmentata, con una DMZ per i servizi esposti, la rete interna separata e la rete wireless protetta con WPA2 e filtri sugli indirizzi;
  • le regole per gli utenti, cioè password solide, diffidenza verso allegati e link inattesi, nessun dato personale sui computer pubblici, attenzione ai keylogger e ai processi in esecuzione.
Il riepilogo finale del seminario era breve. Password sicure, antivirus aggiornati, firewall con IPS, prudenza con email e link sconosciuti e, soprattutto, la testa. Il valore della Kill Chain sta nello stesso principio. Il difensore non deve fermare ogni tecnica, gli basta interrompere la catena in un punto, e meglio ancora in più punti.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn