Fasi di un attacco informatico: kill chain spiegata
Le fasi di un attacco informatico kill chain sono sette passaggi che descrivono come un attaccante prepara, esegue e porta a termine un'intrusione: ricognizione, armamento, consegna, sfruttamento, installazione, comando e controllo, azione sugli obiettivi. Conoscerle serve a capire dove una difesa può fermare l'attacco prima che causi danni.
In questa guida vediamo ogni fase in modo concreto, il legame con le vulnerabilità e i controlli che un'azienda può mettere in campo, senza tecnicismi inutili.
Cos'è la kill chain e perché è utile
Il termine "kill chain" nasce in ambito militare e indica la sequenza di passaggi necessari per colpire un bersaglio. Lockheed Martin l'ha adattato alla sicurezza informatica con il modello Cyber Kill Chain, che scompone un attacco in sette fasi consecutive.
Il principio è semplice: se l'attaccante deve completare tutti i passaggi, la difesa ha più occasioni per fermarlo. Basta interrompere un solo anello per far fallire l'intera catena.
Per un'azienda questo cambia l'approccio. Invece di chiedersi "come evito qualsiasi attacco?", ci si chiede "in quale punto posso rilevare e bloccare un attacco già in corso?". È un ragionamento più realistico e più misurabile.
Le fasi di un attacco informatico kill chain, una per una
1. Ricognizione
L'attaccante raccoglie informazioni sul bersaglio: domini, indirizzi email dei dipendenti, tecnologie in uso, servizi esposti su internet, profili social. Spesso è una fase completamente passiva, quindi difficile da notare.
2. Armamento (weaponization)
Con le informazioni raccolte, l'attaccante prepara lo strumento d'attacco: un documento con codice malevolo, un link verso una pagina falsa o un exploit adatto a una vulnerabilità specifica. Se vuoi chiarire il rapporto tra i due concetti, leggi il nostro approfondimento su cosa sono le vulnerabilità informatiche e come vengono sfruttate.
3. Consegna (delivery)
È il momento in cui lo strumento raggiunge la vittima: una email di phishing, un allegato, una chiavetta USB, un sito compromesso oppure una connessione diretta a un servizio esposto.
4. Sfruttamento (exploitation)
Il codice malevolo si attiva e sfrutta una debolezza, che può essere tecnica (un software non aggiornato, una SQL injection su un'applicazione web) oppure umana (un utente che apre un file o inserisce le credenziali in una pagina falsa).
5. Installazione
L'attaccante crea un punto d'appoggio stabile: un malware persistente, un account nascosto, un'attività pianificata. Qui entra spesso in gioco la privilege escalation, cioè il tentativo di ottenere permessi più alti di quelli iniziali, per esempio da utente standard ad amministratore.
6. Comando e controllo (C2)
Il sistema compromesso stabilisce un canale di comunicazione con l'attaccante, che può così impartire istruzioni, caricare altri strumenti e muoversi lateralmente nella rete. Il traffico è spesso camuffato da normale navigazione.
7. Azione sugli obiettivi
È la fase finale, quella visibile: furto di dati, cifratura dei file con un ransomware, frode, sabotaggio dei sistemi. Quando l'azienda se ne accorge, di solito le fasi precedenti si sono già svolte da tempo.
Come i ransomware percorrono la kill chain
Un esempio utile per capire il modello è quello di un ransomware. Il percorso tipico, pur con molte varianti, può essere questo:
- Ricognizione: l'attaccante individua un accesso remoto esposto o raccoglie email dei dipendenti.
- Consegna e sfruttamento: entra con credenziali rubate, con una email di phishing o sfruttando una vulnerabilità non corretta.
- Installazione e C2: ottiene privilegi elevati, disattiva le protezioni e si muove verso i server.
- Azione sugli obiettivi: copia i dati, cifra i sistemi e chiede un riscatto.
Il punto chiave è che la cifratura dei file arriva alla fine. Prima ci sono giorni, a volte settimane, in cui i segnali (accessi anomali, nuovi account, strumenti sconosciuti) possono essere individuati. Per approfondire come si arriva a quelle vulnerabilità, ti consigliamo di consultare i report pubblici di CSIRT Italia e dell'Agenzia per la Cybersicurezza Nazionale, dove trovi analisi aggiornate sugli incidenti che hanno coinvolto realtà italiane.
Come interrompere la catena: difese per ogni fase
Nessuna misura è sufficiente da sola. L'efficacia nasce dalla combinazione di controlli diversi, distribuiti lungo tutta la catena. Questa tabella riassume un possibile schema di ragionamento.
| Fase | Esempi di controllo |
|---|---|
| Ricognizione | Ridurre le informazioni pubbliche, censire i servizi esposti |
| Armamento | Monitorare le vulnerabilità note (CVE) sui propri sistemi |
| Consegna | Filtri email, formazione degli utenti, protezione della navigazione |
| Sfruttamento | Aggiornamenti, correzione delle applicazioni web, autenticazione a più fattori |
| Installazione | Privilegi minimi, controllo sugli endpoint, segmentazione |
| Comando e controllo | Monitoraggio del traffico in uscita, blocco di destinazioni sospette |
| Azione sugli obiettivi | Backup isolati e testati, controllo dei trasferimenti di dati, piano di risposta agli incidenti |
Dare priorità alle vulnerabilità
Le fasi di armamento e sfruttamento dipendono molto dalle debolezze presenti nei tuoi sistemi. Gli identificativi CVE servono a riconoscere in modo univoco una vulnerabilità nota, mentre il punteggio CVSS ne indica la gravità tecnica. Il CVSS però non basta: conta anche se il sistema è esposto a internet, se esiste un exploit in circolazione e quanto è critico il dato che protegge.
Un processo ordinato di gestione delle vulnerabilità aiuta proprio a questo: individuare, valutare, correggere e verificare in modo continuativo.
Rilevare ciò che non si riesce a prevenire
Le fasi centrali (installazione e comando e controllo) sono quelle in cui la prevenzione ha già fallito, ma la rilevazione può ancora funzionare. Servono log centralizzati, allarmi su comportamenti anomali e qualcuno, interno o esterno, che li guardi davvero e sappia cosa fare.
Limiti del modello e come metterlo alla prova
La kill chain è una semplificazione e ha dei limiti. Non tutti gli attacchi seguono l'ordine descritto: chi usa credenziali legittime rubate può saltare armamento e sfruttamento, e dopo l'ingresso l'attaccante spesso ripete più volte i passaggi per spostarsi da un sistema all'altro. Inoltre il modello nasce con un'ottica centrata sul perimetro e si adatta meno bene a cloud, identità digitali e minacce interne.
Per questo viene spesso affiancata a framework più dettagliati, come MITRE ATT&CK, che cataloga tattiche e tecniche osservate negli attacchi reali.
Verificare le difese nella pratica
Sulla carta ogni controllo sembra funzionare. Per sapere se regge davvero servono prove. Un vulnerability assessment individua le debolezze presenti nei sistemi, mentre un pentest simula l'azione di un attaccante e verifica fino a che punto è possibile spingersi. Le organizzazioni più mature possono arrivare al red teaming, un esercizio più ampio che mette alla prova persone, processi e rilevazione lungo l'intera catena.
Se vuoi usare la kill chain in azienda, un buon punto di partenza è questo:
- Elenca i sistemi e i dati davvero critici.
- Per ogni fase, annota quali controlli hai oggi e chi li presidia.
- Individua le fasi con meno barriere o senza capacità di rilevazione.
- Verifica le ipotesi con test tecnici, non solo con questionari.
- Ripeti l'analisi dopo ogni cambiamento importante nell'infrastruttura.
Conclusione
Capire le fasi di un attacco informatico kill chain permette di spostare l'attenzione dalla speranza di non essere colpiti alla capacità di fermare un attacco in più punti. Non serve una difesa perfetta: serve una difesa a strati, verificata nel tempo e con responsabilità chiare.
Se vuoi capire in quali fasi la tua azienda è più esposta, puoi partire da una valutazione delle vulnerabilità e da un test mirato. Il team di Fred for Security può aiutarti a definire il percorso più adatto alla tua realtà: contattaci dal sito per un primo confronto.
Domande frequenti
Chi ha ideato la cyber kill chain?
Il modello Cyber Kill Chain è stato sviluppato da Lockheed Martin, che ha adattato al mondo informatico un concetto di derivazione militare. Descrive un attacco come una sequenza di sette fasi: se la difesa interrompe anche un solo anello, l'intera catena dell'attacco viene compromessa.
Qual è la differenza tra kill chain e MITRE ATT&CK?
La kill chain è un modello sequenziale e sintetico, utile per capire il flusso generale di un attacco. MITRE ATT&CK è invece una base di conoscenza molto più dettagliata di tattiche e tecniche osservate, utile per mappare i comportamenti degli attaccanti e verificare la copertura dei controlli.
La kill chain serve anche a una piccola azienda?
Sì, perché aiuta a ragionare in modo ordinato sulle difese senza richiedere strumenti sofisticati. Anche una PMI può chiedersi, per ogni fase, quali controlli ha: formazione, aggiornamenti, autenticazione a più fattori, backup, monitoraggio. Il valore sta nel capire dove mancano barriere, non nella complessità.
Tutti gli attacchi seguono le sette fasi in ordine?
No. Il modello è una semplificazione: alcune fasi possono essere saltate, ripetute o svolgersi in parallelo. Un attacco con credenziali rubate, per esempio, può non prevedere alcun exploit. Per questo conviene usare la kill chain come guida di ragionamento e non come schema rigido.