La "kill chain" de Lockheed Martin
En cyber ça sert !
En cybersécurité, modéliser le déroulement d'une attaque aide à savoir où et comment se défendre. La cyber kill chain, développée par Lockheed Martin, décompose une intrusion en sept étapes séquentielles :
1. Reconnaissance : l'attaquant sélectionne sa cible, la recherche et tente d'identifier les vulnérabilités du réseau visé.
2. Armement : l'attaquant crée un logiciel malveillant, comme un virus ou un ver, lui permettant d'accéder à distance à la cible en exploitant une ou plusieurs vulnérabilités du système.
3. Livraison : l'attaquant transmet l'arme à la cible (par exemple via une pièce jointe d'e-mail, un site web piégé ou une clé USB).
4. Exploitation : le code du logiciel malveillant se déclenche et agit sur le réseau cible pour exploiter la vulnérabilité identifiée.
5. Installation : le logiciel malveillant installe un point d'accès (une porte dérobée) utilisable par un attaquant externe.
6. Commandement et contrôle (C2) : le logiciel malveillant offre à l'attaquant un accès permanent au réseau cible.
7. Actions sur l'objectif : l'attaquant agit pour atteindre ses objectifs — exfiltration de données, destruction de données ou chiffrement contre rançon.
L'intérêt principal de ce modèle est défensif : chaque étape offre un point de rupture possible. Bloquer une intrusion à l'étape 2 ou 3 (filtrage d'e-mails, sensibilisation au phishing) coûte bien moins cher qu'intervenir à l'étape 6 ou 7, une fois l'attaquant déjà installé durablement. C'est aussi la logique derrière la défense en profondeur : superposer des contrôles à chaque maillon plutôt que de miser sur une seule barrière.
La cyber kill chain a depuis été critiquée pour son caractère linéaire, peu adapté aux attaques modernes (menaces internes, compromission de la chaîne d'approvisionnement) — d'où l'émergence de modèles complémentaires comme MITRE ATT&CK, plus granulaire et régulièrement mis à jour à partir d'attaques réellement observées.
Sources :