A Cyber Kill Chain é um modelo criado pela Lockheed Martin que descreve um ataque direcionado como uma sequência de sete etapas, do reconhecimento inicial até a ação final sobre o objetivo. A lógica de defesa é simples: quebrar qualquer elo da cadeia interrompe o ataque antes que ele atinja o dano pretendido.
O que é a Cyber Kill Chain?
A Cyber Kill Chain é um framework de origem militar adaptado à segurança da informação. Ela parte de uma premissa útil para o defensor: um ataque direcionado não é um evento único, e sim um processo com fases distintas e observáveis. O adversário precisa completar cada etapa em ordem para chegar ao objetivo — e cada etapa é uma oportunidade de detecção e resposta.
O valor prático do modelo está nessa sequência. Se a organização consegue detectar e interromper o adversário na etapa de entrega, o comprometimento não acontece. Se falha ali mas bloqueia a comunicação de comando e controle, o atacante fica sem controle remoto do host. Quanto mais cedo o elo é quebrado, menor o custo do incidente. Por isso o framework organiza a defesa em torno de uma pergunta objetiva: em que ponto da cadeia nós temos visibilidade e capacidade de agir?
Quais são as 7 etapas da Cyber Kill Chain?
As sete etapas descrevem a progressão típica de um ataque direcionado. Elas não esgotam todo cenário — ameaças internas e abuso de credenciais legítimas, por exemplo, encurtam a cadeia — mas fornecem uma espinha dorsal para pensar detecção e resposta.
-
Reconnaissance (reconhecimento). O adversário levanta informação sobre o alvo antes de tocar em qualquer sistema. Coleta e-mails corporativos, nomes de funcionários, tecnologias expostas, subdomínios, vazamentos anteriores e fornecedores. É a fase mais silenciosa, quase toda passiva e fora do perímetro monitorado.
-
Weaponization (armamento). Com a informação em mãos, o atacante prepara o artefato malicioso — por exemplo, um documento com macro, um instalador trojanizado ou um exploit acoplado a um payload. Essa etapa ocorre na infraestrutura do adversário e raramente é observável pelo defensor.
-
Delivery (entrega). O artefato é transmitido ao alvo. Os vetores mais comuns são o phishing por e-mail, links maliciosos, mídias removíveis e o comprometimento de sites legítimos que a vítima costuma acessar. É o primeiro momento em que o ataque cruza o perímetro e, portanto, o primeiro ponto forte de detecção.
-
Exploitation (exploração). O payload entregue explora uma vulnerabilidade — técnica ou humana — para executar código no ambiente da vítima. Pode ser uma falha em software desatualizado, uma configuração fraca ou simplesmente o usuário habilitando uma macro. É aqui que o adversário ganha execução inicial.
-
Installation (instalação). O atacante estabelece uma presença que sobrevive a reinicializações e ao fim da sessão: instala um backdoor, cria uma tarefa agendada, um serviço ou uma chave de execução automática. A persistência é o que separa um acesso momentâneo de um comprometimento duradouro.
-
Command and Control (C2, comando e controle). O host comprometido abre um canal de comunicação com a infraestrutura do adversário, que passa a operar o ambiente remotamente. Sem esse canal, o atacante não consegue enviar comandos nem receber dados. Bloquear o C2 neutraliza o controle mesmo com o host já infectado.
-
Actions on Objectives (ação sobre o objetivo). Com o controle estabelecido, o adversário executa o que veio fazer: movimentação lateral, escalação de privilégios, exfiltração de dados, criptografia para ransomware ou sabotagem. É o estágio de impacto — e o mais caro para a organização.
Como cada etapa vira uma oportunidade de defesa?
O ponto central da Cyber Kill Chain não é catalogar o ataque, e sim mapear onde o defensor pode agir. Para cada etapa existem ações de defesa possíveis, geralmente descritas em seis categorias: detectar, negar, interromper, degradar, enganar e destruir (a matriz original de Lockheed Martin).
Na prática, isso significa distribuir controles ao longo da cadeia em vez de concentrar tudo em uma única barreira. Filtro de e-mail e conscientização atacam a entrega; gestão de vulnerabilidades e hardening reduzem a superfície de exploração; EDR e controle de aplicações dificultam a instalação; segmentação de rede e bloqueio de domínios cortam o C2; e monitoramento de exfiltração e resposta a incidentes atuam na ação sobre o objetivo.
A implicação estratégica é a defesa em profundidade. Como o adversário precisa completar todas as etapas para vencer, e o defensor precisa quebrar apenas uma, camadas independentes de controle mudam a assimetria a favor de quem defende.
Esse raciocínio também orienta o investimento. Em vez de perguntar "qual ferramenta comprar", a organização passa a perguntar "em quais etapas eu tenho cegueira" — e direciona esforço para os elos sem cobertura. Um programa maduro consegue apontar, para cada fase da cadeia, qual controle a observa, qual a bloqueia e qual a registra para investigação posterior. Onde nenhuma dessas respostas existe, há uma lacuna a priorizar.
Cyber Kill Chain e MITRE ATT&CK: qual a diferença?
São modelos complementares, não concorrentes. A Cyber Kill Chain oferece a visão macro — a sequência linear de fases de um ataque. O MITRE ATT&CK oferece a visão micro — um catálogo detalhado de táticas e técnicas reais observadas em campo, com procedimentos e mapeamento para grupos adversários.
A forma mais produtiva de usá-los é em conjunto: a kill chain como narrativa que ordena o ataque em fases, e o ATT&CK como o dicionário de "como" cada fase é executada na prática, técnica por técnica.
| Critério | Cyber Kill Chain | MITRE ATT&CK |
|---|---|---|
| Origem | Lockheed Martin | MITRE |
| Estrutura | Linear, 7 etapas em sequência | Matriz de táticas e técnicas, não linear |
| Granularidade | Fases amplas do ataque | Técnicas e subtécnicas detalhadas |
| Foco | Narrativa macro do ciclo do ataque | Comportamento adversarial observado |
| Uso típico | Comunicar estratégia e camadas de defesa | Detecção, threat hunting e cobertura por técnica |
| Vantagem | Simples de comunicar a gestores | Rico em detalhe operacional e atualizado |
Na Berghem, tratamos a kill chain como o esqueleto de um relatório de red team — a história de como o objetivo foi alcançado — e o ATT&CK como a camada técnica que ancora cada passo em uma técnica reconhecida, permitindo que a equipe de defesa escreva detecções específicas.
Quais são as limitações da Cyber Kill Chain?
O modelo original tem críticas legítimas que vale conhecer para não aplicá-lo mal.
- Viés perimetral. A cadeia foi desenhada pensando em malware que entra de fora, o que a torna menos aderente a ameaças internas e ao abuso de credenciais válidas, onde não há entrega nem exploração no sentido clássico.
- Linearidade. Ataques reais raramente seguem uma linha reta. O adversário volta a etapas anteriores, executa fases em paralelo e mistura reconhecimento com ação ao longo de toda a operação.
- Peso nas fases iniciais. As três primeiras etapas ocorrem fora do ambiente do alvo, com pouca observabilidade, enquanto boa parte do dano moderno acontece após o acesso inicial, na movimentação lateral e na persistência.
A resposta a essas limitações não é abandonar o modelo, e sim combiná-lo. A kill chain dá a estrutura de comunicação; o MITRE ATT&CK cobre as fases pós-comprometimento com o detalhe que falta ao modelo linear.
Como a Berghem usa a Cyber Kill Chain
Na Berghem, a Cyber Kill Chain é uma das lentes que organizam nosso trabalho de threat intelligence e simulação adversarial. Em vez de tratá-la como uma checklist rígida, usamos a cadeia para estruturar cenários realistas: partimos de um objetivo adversarial concreto para o negócio e desenhamos o caminho, etapa a etapa, que um atacante seguiria para chegar até ele.
Esse encadeamento sustenta nossos exercícios de Red Team, em que reproduzimos a cadeia completa — do reconhecimento à ação sobre o objetivo — para medir não só a existência de controles, mas a capacidade real de detectar e responder em cada elo. Cada fase do exercício é mapeada para técnicas do MITRE ATT&CK, o que permite à equipe de defesa transformar o relatório em detecções e melhorias priorizadas por onde a cadeia foi quebrada tarde demais. O resultado não é uma lista de vulnerabilidades soltas, e sim uma leitura de onde, na cadeia, a organização perde visibilidade — e o que fazer para recuperá-la.
Na prática, isso muda a conversa com a liderança. Em vez de discutir achados isolados, apresentamos a trajetória do ataque e o elo em que a defesa deveria tê-lo interrompido, ligando cada recomendação a uma etapa concreta e a um controle mensurável. Assim o investimento em segurança deixa de ser reativo e passa a fechar, uma a uma, as lacunas que permitiram ao adversário avançar até o objetivo.
A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.
Perguntas frequentes
A Cyber Kill Chain ainda é relevante?
Sim, mas como modelo de comunicação e estratégia, não como catálogo técnico. Ela continua útil para organizar a defesa em camadas e explicar a lógica de interromper o ataque cedo. Para o detalhe operacional das fases pós-comprometimento, ela é complementada pelo MITRE ATT&CK, que cobre técnicas com granularidade muito maior.
Qual a diferença entre Cyber Kill Chain e MITRE ATT&CK?
A kill chain é linear e macro: sete fases em sequência, do reconhecimento à ação sobre o objetivo. O ATT&CK é uma matriz não linear de táticas e técnicas observadas em campo, com detalhe operacional. Uma serve para narrar o ciclo do ataque; a outra, para detectar e caçar comportamentos específicos. Usadas juntas, se reforçam.
Como a Cyber Kill Chain ajuda na defesa?
Ela mapeia cada etapa do ataque a oportunidades concretas de detectar, negar, interromper, degradar, enganar ou destruir a capacidade do adversário. Como o atacante precisa completar todas as fases e o defensor só precisa quebrar uma, distribuir controles ao longo da cadeia — a chamada defesa em profundidade — desloca a vantagem para quem defende.