Model rámuje prienik ako reťazec závislých fáz: prerušenie ktoréhokoľvek článku môže v zásade zmariť cieľ útočníka. Obrancom dal zdieľanú štruktúru na mapovanie detekcií, zmiernení a spravodajstva na body v životnom cykle útoku namiesto len na nástroje alebo indikátory.
Jeho limity sú štrukturálne. Skutočné prieniky iterujú, preskakujú fázy, splývajú s legitímnou aktivitou a pohybujú sa cez cloudové, identitné a dodávateľské cesty, ktoré pôvodný model zameraný na hostiteľov a malware neopisoval. Neskoršia práca ako Unified Kill Chain rozširuje fázovanie, zatiaľ čo MITRE ATT&CK katalogizuje pozorovateľné správania bez predpisovania lineárneho poradia.
Kľúčové body
Štruktúra modeluSedem fáz opisuje progresiu od počiatočného prieskumu po akcie na cieľoch; model zdôrazňuje, že skoršie prerušenie je lacnejšie a bezpečnejšie než reakcia v neskorej fáze.
Obranné použitieMapovať telemetriu, detekcie a kontroly na každú fázu, na odhalenie medzier v pokrytí a používať fázy na organizáciu spravodajstva a poincidentovej analýzy.
AnalýzaZaznamenať, ktorú fázu každý dôkaz reprezentuje a kde bol reťazec skutočne prerušený — prienik objevený na úrovni command and control nebol zastavený pri doručení.
Dôležité obmedzenieModel predpokladá sekvenciu, ktorú skutoční protivníci nemusia nasledovať. Krádež prihlasovacích údajov, living-off-the-land, aktivita insiderov a zneužitie cloudovej riadiacej roviny do fázovania sedia zle a model nehovorí nič o zámere alebo zručnosti útočníka.