Een kill chain is een model dat een cyberaanval opdeelt in vaste stappen. Het begint bij verkenning (de aanvaller zoekt uit wie je bent en welke systemen je gebruikt), gaat via de eerste toegang (bijvoorbeeld een phishingmail) naar het nestelen in je netwerk, en eindigt bij het doel: data stelen, versleutelen of geld overmaken. De term komt uit het leger en werd door Lockheed Martin vertaald naar IT.
Voor het MKB is het model nuttig omdat het laat zien dat een aanval bijna nooit één moment is. Er zitten vaak dagen of weken tussen de eerste klik en de echte schade. Elke stap is een kans om de aanval te onderbreken. Als je weet waar jouw zwakke plekken in die keten zitten, weet je ook waar je beveiliging het meeste oplevert.
In de praktijk gebruik je de kill chain als checklist: heb je per stap een maatregel? Verkenning bemoeilijk je door weinig te delen over je systemen. De eerste toegang blokkeer je met spamfilter, MFA en bewustwording. Nestelen en verspreiden vang je met EDR en netwerksegmentatie. En de laatste stap, het wegsluizen van data, zie je met monitoring. Het verwante MITRE ATT&CK-framework werkt dit veel gedetailleerder uit.
Wat OkayICT hierin doet: We toetsen je beveiliging per stap van de kill chain en vullen de gaten met MFA, EDR, monitoring en bewustwordingstraining.
Meer lezen: Wat is MITRE ATT&CK? · Wat is phishing? · Wat is een incident response plan?
