Punti chiave
- La cyber kill chain è il modello di Lockheed Martin che divide un'intrusione in sette fasi: ricognizione, armamento, consegna, sfruttamento, installazione, comando e controllo, azioni sugli obiettivi.
- L'attaccante deve completarle tutte, quindi una sola contromisura efficace in una fase qualsiasi interrompe l'attacco: per ogni fase il paper indica azioni di rilevamento, blocco, interruzione, degrado, inganno e distruzione.
- In azienda si usa per mappare i controlli fase per fase e trovare quelle scoperte; se un attacco è rilevato in una fase, si dà per scontato che le precedenti siano riuscite e si ricostruiscono, anche per i tentativi bloccati.
- MITRE ATT&CK è complementare e più granulare: dalla versione 19 (aprile 2026) la matrice Enterprise ha 15 tattiche, perché Defense Evasion è stata divisa in Stealth e Defense Impairment.
- Molti attacchi di oggi saltano le prime fasi: secondo M-Trends 2026 di Mandiant il voice phishing è all'11% degli accessi iniziali e la compromissione precedente al 30% nel ransomware, quindi il rilevamento va messo anche su rete interna e identità.
La risposta breve: la cyber kill chain è un modello sviluppato da Lockheed Martin che descrive un'intrusione informatica come una sequenza di sette fasi: ricognizione, armamento, consegna, sfruttamento, installazione, comando e controllo, azioni sugli obiettivi. L'idea che la rende utile è semplice: l'attaccante deve completare ogni fase, quindi basta interrompere la catena in un punto qualsiasi per fermare l'attacco.
Di seguito: da dove viene, cosa succede in ogni fase, come si usa per capire dove il monitoraggio è scoperto, in cosa differisce da MITRE ATT&CK e quali limiti ha davanti agli attacchi di oggi.
Da dove viene la cyber kill chain
Il modello nasce dal paper Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains di Eric M. Hutchins, Michael J. Cloppert e Rohan M. Amin, ricercatori di Lockheed Martin. Oggi Lockheed Martin lo presenta come parte del suo modello Intelligence Driven Defense e il nome Cyber Kill Chain è un suo marchio registrato.
Il termine viene dalla dottrina militare statunitense, dove la kill chain è la sequenza di passi con cui si individua e si colpisce un obiettivo. Il paper spiega che si parla di catena perché una carenza in un solo anello interrompe l'intero processo. Gli autori hanno ribaltato il punto di vista: se l'attaccante deve passare da tutti gli anelli, chi lo osserva ha sette occasioni per fermarlo, non una.
Il contesto era quello delle APT (Advanced Persistent Threat), gruppi con molte risorse che portano avanti campagne di intrusione lunghe e mirate. Il paper sostiene che antivirus e sistemi di rilevamento delle intrusioni, da soli, non bastano contro attaccanti di questo tipo, e che la risposta agli incidenti tradizionale parte quando l'intrusione è già riuscita.
Le 7 fasi della cyber kill chain
Queste sono le definizioni del paper, riportate in sintesi, con accanto cosa significano per un'azienda oggi.
1. Ricognizione (Reconnaissance)
L'attaccante studia, identifica e sceglie i bersagli. Nel paper l'esempio è la raccolta di indirizzi email, relazioni personali e informazioni sulle tecnologie usate, da siti web, atti di convegni e mailing list. Oggi vuol dire anche profili LinkedIn, organigrammi pubblici, servizi esposti su internet.
2. Armamento (Weaponization)
L'attaccante unisce un exploit e un trojan di accesso remoto in un unico pacchetto da consegnare, di solito con uno strumento dedicato. Già allora il paper notava che il veicolo era sempre più spesso un documento PDF o Office. Questa fase avviene fuori dalla rete della vittima, quindi in azienda di solito non si vede: si ricostruisce dopo, analizzando il file.
3. Consegna (Delivery)
Il pacchetto arriva nell'ambiente del bersaglio. Secondo i dati del CIRT di Lockheed Martin per gli anni dal 2004 al 2010, i tre canali più usati dagli attori APT erano gli allegati email, i siti web e le chiavette USB. La mail resta un canale centrale, come spiega la guida al phishing in azienda.
4. Sfruttamento (Exploitation)
Il codice dell'attaccante si attiva sulla macchina della vittima. Di solito sfrutta una vulnerabilità di un'applicazione o del sistema operativo, ma può anche sfruttare l'utente stesso, o una funzione del sistema che esegue codice in automatico.
5. Installazione (Installation)
L'attaccante installa una backdoor o un trojan di accesso remoto per mantenere la presenza nell'ambiente. È la fase della persistenza.
6. Comando e controllo (Command and Control, C2)
La macchina compromessa apre un canale verso un server controllato dall'attaccante su internet. Da qui, scrive il paper, l'intruso ha accesso diretto all'ambiente, come se avesse le mani sulla tastiera.
7. Azioni sugli obiettivi (Actions on Objectives)
Solo ora l'attaccante fa ciò per cui è entrato. Nel paper l'obiettivo tipico è l'esfiltrazione dei dati (raccolta, cifratura ed estrazione), ma possono esserlo anche la manomissione o il blocco dei sistemi. In alternativa la prima macchina serve solo come punto d'appoggio per muoversi lateralmente verso altri sistemi della rete.
Come si usa: una sola contromisura interrompe la catena
Il valore della kill chain non sta nell'elenco delle fasi, ma in quello che permette di fare con l'elenco. Il paper propone di mettere per ogni fase le azioni possibili, prese dalla dottrina militare delle operazioni informative: detect, deny, disrupt, degrade, deceive, destroy, cioè rilevare, negare, interrompere, degradare, ingannare, distruggere.
L'esempio che fa il paper riguarda la fase di sfruttamento: un sistema di rilevamento delle intrusioni sull'host può rilevare l'exploit, la patch lo rende impossibile, e la DEP (data execution prevention) lo interrompe quando parte. Nella stessa matrice compaiono strumenti di rete, liste di controllo degli accessi sui firewall, log di audit, e gli utenti attenti, che possono segnalare attività sospette.
In pratica, per un'azienda del mid-market, l'esercizio si fa così:
- Si prende ogni fase e si scrive quali controlli la coprono oggi: filtro email e formazione per la consegna, gestione delle patch e EDR per lo sfruttamento e l'installazione, controllo del traffico in uscita per il C2, log e monitoraggio per le azioni sugli obiettivi.
- Si distingue tra rilevare e bloccare. Un controllo che blocca la consegna è utile, ma se nessuno guarda cosa è stato bloccato non si impara niente sull'attaccante.
- Si cercano le fasi scoperte: quelle dove un attaccante che è passato non lascerebbe nessuna traccia visibile a qualcuno.
- Si decide dove investire partendo dalle fasi scoperte, non dall'ultimo prodotto visto.
Ricostruire l'intrusione, anche quando è fallita
Il paper aggiunge due indicazioni che restano attuali. La prima: se un attacco viene rilevato in una certa fase, si può dare per scontato che le fasi precedenti siano riuscite, e vanno ricostruite tutte. Se non si capisce come è avvenuta la consegna, non si potrà bloccare la prossima consegna dello stesso attaccante. La seconda: vanno analizzati anche i tentativi bloccati. Una mail fermata perché riusava un indicatore noto può contenere un exploit o una backdoor nuovi, che al prossimo tentativo, consegnati in un altro modo, passerebbero inosservati.
Il ragionamento di fondo è economico: per essere sostenibile, un attaccante riusa strumenti e infrastrutture. Chi conosce bene le intrusioni passate lo costringe a cambiare tutte le fasi per riuscire la volta successiva.
Cyber kill chain e MITRE ATT&CK: che differenza c'è
Chi lavora in un SOC oggi usa soprattutto MITRE ATT&CK, una base di conoscenza delle tattiche e delle tecniche osservate negli attacchi reali. I due modelli rispondono a domande diverse:
- La kill chain dice in quale momento dell'attacco ci si trova. Ha sette fasi, è lineare e pensata per l'intrusione da fuori verso dentro.
- ATT&CK dice cosa sta facendo l'attaccante e con quale tecnica. Le tattiche non seguono un ordine fisso, e sotto ciascuna ci sono tecniche e sotto-tecniche.
Con la versione 19, rilasciata ad aprile 2026, le tattiche della matrice Enterprise sono diventate 15: la tattica Defense Evasion è stata divisa in Stealth e Defense Impairment. L'elenco attuale: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact.
Si vede che ATT&CK dà un nome proprio a fasi che la kill chain comprime in una sola, come il furto di credenziali, la ricognizione interna e il movimento laterale, che nella kill chain stanno tutti dentro le azioni sugli obiettivi. Nella pratica i due modelli si usano insieme: la kill chain per spiegare al management dove si è fermato un attacco, ATT&CK per misurare quali tecniche le regole di rilevamento coprono davvero.
I limiti della kill chain davanti agli attacchi di oggi
Il modello è nato sulle intrusioni con malware consegnato via mail o web. Molti attacchi recenti non seguono quella sequenza, e i dati di Mandiant (Google Cloud) lo mostrano. Il rapporto M-Trends 2026, pubblicato a marzo 2026 e basato sulle indagini sugli incidenti condotte da Mandiant nel 2025, riporta che:
- gli exploit restano per il sesto anno il vettore di accesso iniziale più frequente, con il 32% delle intrusioni;
- il voice phishing interattivo è salito all'11% ed è diventato il secondo vettore;
- la compromissione precedente (prior compromise) è il terzo vettore a livello globale (10%) e il primo nelle operazioni ransomware (30%);
- nel 2022 il tempo mediano tra un accesso iniziale e il suo passaggio a un secondo gruppo criminale era di oltre 8 ore, nel 2025 è sceso a 22 secondi;
- il dwell time mediano globale, il tempo in cui un attaccante resta nell'ambiente senza essere scoperto, è salito da 11 a 14 giorni.
La nostra lettura di questi numeri, per chi usa la kill chain come mappa: una telefonata che convince un dipendente a consegnare le credenziali salta armamento, sfruttamento e installazione. Un accesso comprato da chi ha già compromesso l'azienda parte direttamente dal comando e controllo. E nei servizi cloud e SaaS spesso non c'è un malware da installare: c'è un'identità valida usata male. Il modello resta utile per ragionare per fasi, ma una copertura costruita solo sulle prime cinque lascia scoperto proprio il tratto in cui molti attacchi di oggi cominciano.
Per questo i rilevamenti vanno messi anche dentro la rete e sulle identità, non solo sul bordo, e le esposizioni vanno cercate prima che le trovi qualcun altro, che è il punto di partenza del CTEM.
Kill chain, monitoraggio e NIS2
La kill chain non è un requisito normativo. Ma chi deve rispettare la NIS2 trova nelle misure di base ACN obblighi che si leggono bene fase per fase. Per i soggetti importanti, l'allegato 1 della determinazione ACN 379907/2025 chiede tra l'altro:
- DE.CM-01: almeno per i sistemi informativi e di rete rilevanti, strumenti tecnici per rilevare tempestivamente gli incidenti significativi, presenti, aggiornati e configurati in modo adeguato, con procedure documentate;
- DE.CM-09: salvo ragioni normative o tecniche motivate e documentate, sistemi di protezione degli endpoint per il rilevamento del codice malevolo;
- RS.MA-01: un piano per la gestione degli incidenti definito, attuato, aggiornato e documentato.
DE.CM-09 copre soprattutto installazione e sfruttamento sugli endpoint (sulle differenze tra gli strumenti, vedi EDR, XDR e MDR). DE.CM-01 riguarda reti e servizi di rete, quindi anche il canale di comando e controllo e il movimento laterale. Avere gli strumenti però non basta: serve qualcuno che legga gli eventi, li correli e decida, che è il lavoro di un SOC appoggiato a un SIEM.
Da dove partire
Un buon primo passo richiede un pomeriggio: si prende l'ultimo incidente o quasi incidente che l'azienda ha avuto, anche una mail di phishing bloccata, e lo si ricostruisce fase per fase. Per ogni fase ci si chiede chi avrebbe potuto vederlo, con quale log, e in quanto tempo. Le fasi dove la risposta è nessuno sono la lista delle priorità.
Se vuoi capire come monitoraggio continuo, rilevamento e risposta possono coprire tutta la catena nella tua realtà, trovi il nostro approccio nella pagina dedicata ai servizi di cybersecurity.