אנטומיה של מתקפת סייבר: 7 השלבים של Cyber Kill Chain

בסרטים, פריצה למחשב נראית כמו עניין של שניות: שורות קוד רצות על המסך, הודעת "Access Granted" מהבהבת, והגיבור בפנים. במציאות, מתקפת סייבר איכותית היא תהליך מחושב, איטי ומתודי. כדי להבין איך לעצור את התוקף, אנשי אבטחת מידע משתמשים במודל שנקרא Cyber Kill Chain (שרשרת ההריגה/התקיפה). המודל, שפותח במקור על ידי חברת לוקהיד מרטין, ממפה את שבעת השלבים שכל תוקף חייב לעבור כדי להצליח. הבנה של השלבים הללו היא המפתח להגנה: אם נצליח לשבור את השרשרת באחד השלבים המוקדמים, המתקפה תיכשל.

שלב 1: איסוף מודיעין (Reconnaissance)

איסוף מודיעין במתקפת סייבר – האקר מנתח רשת ארגונית באמצעות OSINT וסריקות

לפני שהתוקף כותב שורת קוד אחת, הוא לומד את היעד. זהו שלב ה"בילוש". התוקף מחפש כתובות אימייל של עובדים, מזהה אילו שרתים חשופים לאינטרנט, ומנסה להבין באילו טכנולוגיות הארגון משתמש.

איך זה קורה? שימוש בכלי OSINT (מודיעין ממקורות גלויים) כדי לסרוק רשתות חברתיות ואתרים, ושימוש בכלי סריקה אקטיביים כמו Nmap כדי למפות את הרשת ולזהות פורטים פתוחים.

שלב 2: חימוש (Weaponization)

לאחר שהתוקף מצא חולשה (למשל, שרת שלא עודכן או עובד שניתן להונות), הוא מכין את "כלי הנשק". הוא לוקח Exploit (קוד שמנצל חולשה) ועוטף אותו בתוך קובץ תמים למראה, כמו מסמך PDF או קובץ Excel, המכיל בתוכו את הנוזקה (Payload).

איך זה קורה? שימוש בכלי תקיפה מתקדמים כמו Metasploit או יצירת נוזקות באמצעות MSFVenom, המאפשרים ליצור קוד זדוני המותאם לחולשות ספציפיות (CVEs).

שלב 3: שיגור (Delivery)

התקפת פישינג כחלק משרשרת Cyber Kill Chain – מייל זדוני שנראה לגיטימי

זהו רגע האמת שבו הנשק נשלח אל הקורבן. המטרה היא לגרום למשתמש לפתוח את הקובץ או ללחוץ על הלינק הזדוני.

איך זה קורה? הדרך הנפוצה ביותר היא באמצעות הנדסה חברתית (Social Engineering) ודיוג (Phishing). התוקף שולח מייל שנראה לגיטימי לחלוטין, הדורש מהמשתמש "לאפס סיסמה" או "לצפות בחשבונית". דרכים נוספות כוללות התקפות דרך רשתות Wi-Fi או התחזות לאתרים לגיטימיים.

שלב 4: ניצול (Exploitation)

ברגע שהמשתמש לחץ על הלינק או פתח את הקובץ, הקוד הזדוני מופעל. בשלב זה, הנוזקה מנצלת את החולשה במערכת ההפעלה או באפליקציה כדי לקבל גישה ראשונית למחשב.

איך זה קורה? ניצול חולשות באופיס (Office Exploitation), הרצת סקריפטים זדוניים או שימוש בפרצות בדפדפן.

שלב 5: התקנה (Installation)

התוקף בפנים, אבל אם המחשב יופעל מחדש – הוא עלול לאבד את הגישה. לכן, השלב הבא הוא יצירת "דלת אחורית" (Backdoor) שתאפשר לו לחזור מתי שירצה.

איך זה קורה? התוקף משתמש בטכניקות של Persistence (התמדה) ושינוי רג'יסטרי או יצירת משתמשים חדשים. לעיתים הוא יבצע Privilege Escalation (העלאת הרשאות) כדי להפוך ממשתמש רגיל למנהל מערכת (Admin/Root) ולהשיג שליטה מלאה.

שלב 6: שליטה מרחוק (Command & Control - C2)

שרת Command and Control במתקפת סייבר – שליטה מרחוק במחשבים נגועים

כעת המחשב הנגוע "מתקשר הביתה" לשרת של התוקף ומחכה לפקודות. זהו הערוץ שדרכו התוקף מנווט בתוך הרשת הארגונית.

איך זה קורה? שימוש בטכניקות כמו Reverse Shells או Network Tunneling כדי לעקוף את חומת האש וליצור ערוץ תקשורת מוצפן החוצה.

שלב 7: פעולה על היעדים (Actions on Objectives)

זהו השלב הסופי. התוקף מבצע את מה שלשמו הוא הגיע: גניבת מידע רגיש, הצפנת הקבצים ודרישת כופר (Ransomware), או שיבוש פעילות הארגון. בשלב זה התוקף כבר נע בתוך הרשת (Lateral Movement) כדי להגיע לשרתים הקריטיים ביותר.

חיבור לפרקטיקה המקצועית

היכרות תיאורטית עם ה-Kill Chain אינה מספיקה. כדי להיות איש סייבר אפקטיבי, צריך לדעת איך לפעול בכל אחד מהשלבים הללו – הן כתוקף והן כמגן. תוכנית ההכשרה בנויה במקביל לשלבי השרשרת: בשלב הראשון לומדים לבצע איסוף מודיעין וסריקת רשתות באמצעות כלים כמו Nmap ושיטות OSINT. בהמשך, לומדים כיצד ליצור ולנצל חולשות (Weaponization & Exploitation) בעזרת Metasploit ופייתון לאבטחה. במקביל, בצד ההגנתי, לומדים כיצד לזהות ולעצור את השרשרת: החל מניטור תעבורה וזיהוי ניסיונות C2 במערכות SIEM, ועד לחקירת נוזקות ושימוש בטכניקות DFIR כדי להבין מה קרה בשלב ההתקנה והניצול.

ידע וכלים אלה נרכשים במסגרת לימודי אבטחת מידע וסייבר.
למידע נוסף ניתן להיכנס לדף הקורס.