A cyber kill chain é um modelo que divide um ataque cibernético em sete etapas ordenadas, do momento em que um atacante começa a estudar um alvo até o momento em que rouba dados ou causa danos. Analistas da Lockheed Martin a publicaram em 2011 como uma forma de os defensores pensarem como o adversário e interromperem uma invasão antes que ela chegue ao objetivo. Entenda as sete etapas e uma violação de aparência caótica vira uma sequência previsível que você pode interromper em qualquer ponto.
Este guia percorre cada etapa dos dois lados: o que o atacante faz e como um defensor a detecta e a quebra. Cada fase também corresponde a uma habilidade concreta que você pode praticar na prática. Esse mesmo caminho de sete etapas é exatamente o que você segue no curso de teste de penetração em redes da HackerDNA, no qual você executa reconhecimento, exploração e pós-exploração contra um alvo ao vivo, no navegador.
Resumo: A cyber kill chain é um modelo de sete etapas de como um ataque direcionado acontece: reconhecimento, armamento, entrega, exploração, instalação, comando e controle, e ações sobre os objetivos. Criada pela Lockheed Martin em 2011, ela trata uma invasão como uma corrente na qual quebrar um único elo interrompe todo o ataque. Os defensores a usam para associar controles a cada etapa e detectar um atacante cedo, idealmente antes da exploração. Sua principal limitação é o foco em perímetro e malware, motivo pelo qual muitas equipes hoje a combinam com o referencial mais granular MITRE ATT&CK.
Neste guia:
O que é a cyber kill chain?
O que é a cyber kill chain? A cyber kill chain é um referencial que descreve um ataque cibernético como uma sequência de sete etapas que um atacante precisa completar em ordem para ter sucesso. Se um defensor interrompe uma única etapa, o atacante não consegue chegar à seguinte e a invasão falha. Ela dá às equipes de segurança uma linguagem comum sobre em que ponto está um ataque e o que fazer a respeito.
O termo vem do meio militar. Uma "kill chain" clássica descreve os passos para identificar e engajar um alvo: encontrar, fixar, rastrear, mirar, engajar, avaliar. A Lockheed Martin adaptou essa ideia à defesa de redes em um artigo de 2011 assinado por Eric Hutchins, Michael Cloppert e Rohan Amin, que argumentavam que invasões não são eventos isolados, mas campanhas com fases distintas e detectáveis. Eles chamaram a abordagem de defesa orientada por inteligência.
A ideia central é defensiva, não ofensiva. Um atacante precisa acertar todas as etapas. Um defensor só precisa pegar uma. Essa assimetria é o ponto central: quanto mais cedo você detecta uma atividade na corrente, mais barato e seguro é derrubá-la. Pegar o reconhecimento é um incômodo para o atacante. Pegar as ações sobre os objetivos significa que os dados já estão saindo.
Para quem está aprendendo segurança ofensiva, a kill chain também é o mapa de um engajamento completo. Um teste de penetração de verdade percorre essas mesmas fases, e é por isso que entender o modelo torna atacantes e defensores mais afiados.
As 7 etapas da cyber kill chain
Quais são as 7 etapas da cyber kill chain? As sete etapas são reconhecimento, armamento, entrega, exploração, instalação, comando e controle, e ações sobre os objetivos. Cada etapa depende da anterior, de modo que o modelo se lê como uma linha reta da pesquisa ao impacto. Veja o que acontece em cada uma e como um defensor a identifica.
1. Reconhecimento
O atacante pesquisa o alvo. Isso significa reunir endereços de e-mail, nomes de funcionários, tecnologias em uso, serviços expostos e qualquer coisa que estreite um caminho de entrada. Parte disso é passiva e silenciosa, extraída de fontes públicas como o site da empresa, vagas de emprego e redes sociais. Parte é ativa, como escanear portas abertas e serviços em execução.
Os defensores detectam o lado ativo observando scans de portas e rastreamento incomum, e reduzem o lado passivo limitando o que publicam. No lado ofensivo, é aqui que ferramentas como o Nmap ganham seu espaço. Nosso guia rápido de Nmap cobre os comandos exatos usados para mapear as portas abertas e os serviços de um alvo durante essa fase.
2. Armamento
O atacante constrói aquilo que de fato vai invadir. Classicamente, isso significa juntar um exploit a uma carga útil, por exemplo embutindo uma macro maliciosa em um documento ou empacotando um exploit em um arquivo de aparência inofensiva. Essa etapa acontece inteiramente na máquina do atacante, então ainda não há nada no alvo para detectar.
Como o armamento é invisível para o defensor, o valor defensivo aqui é a inteligência: entender quais cargas úteis e formatos de entrega os atacantes preferem permite ajustar a detecção para as etapas seguintes. Você não vê a arma sendo construída, mas pode se preparar para a forma como ela costuma chegar.
3. Entrega
A arma chega ao alvo. O método de entrega mais comum, de longe, é um e-mail de phishing com um anexo ou link malicioso. Outros incluem sites comprometidos, pen drives infectados e a exploração direta de um serviço exposto. A entrega é a primeira etapa em que o atacante toca o seu ambiente, o que a torna a primeira chance real de bloqueá-lo.
É aqui que a filtragem de e-mails, a análise de links e a conscientização dos usuários compensam. Uma mensagem de phishing que nunca chega a uma caixa de entrada é um ataque que termina na etapa três. A filtragem web e o bloqueio de domínios sabidamente maliciosos cortam a rota do download furtivo.
4. Exploração
A carga útil é disparada. Um usuário abre o anexo, um serviço vulnerável interpreta a entrada maliciosa e o código do atacante é executado. É o momento em que uma falha de software ou de comportamento humano se transforma em execução de código real no alvo. Falhas de aplicações web como injeção de SQL e injeção de comandos também vivem aqui, quando a entrada é por uma aplicação exposta à internet.
A aplicação de correções remove as vulnerabilidades das quais a exploração depende. A proteção de endpoints e o endurecimento de aplicações capturam ou bloqueiam o exploit no momento em que ele dispara. Para entender essa etapa da cadeira do atacante, praticar exploração web em alvos propositalmente vulneráveis é a forma mais rápida de ver como uma única entrada não verificada vira um ponto de apoio.
5. Instalação
O atacante estabelece persistência. Fazer o código rodar uma vez não basta, porque uma reinicialização ou uma sessão fechada encerraria o acesso. Então ele instala um backdoor, cria uma tarefa agendada, adiciona um serviço ou deixa um web shell que sobrevive e permite voltar quando quiser. Uma forma comum desse ponto de apoio é um reverse shell que chama de volta para o atacante.
Os defensores caçam os artefatos que a persistência deixa: novos serviços, tarefas agendadas estranhas, entradas de inicialização inesperadas e arquivos em lugares onde não deveriam estar. Nosso guia rápido de reverse shell mostra como os atacantes montam essa chamada de retorno, que é justamente o que as equipes azuis aprendem a reconhecer nos logs.
6. Comando e controle (C2)
O ponto de apoio instalado liga para casa. A máquina comprometida abre um canal para o servidor do atacante para receber instruções e devolver dados. O C2 moderno se esconde em tráfego de aparência normal, usando HTTPS, DNS ou até serviços de nuvem confiáveis para se misturar a tudo que sai da rede.
Essa etapa é um ponto de detecção forte, porque o tráfego precisa cruzar a fronteira da rede. Monitorar conexões de saída, inspecionar o DNS em busca de tunelamento e bloquear infraestruturas de C2 conhecidas quebram o canal. Corte o link de C2 e o atacante fica com um ponto de apoio que não consegue mais dirigir.
7. Ações sobre os objetivos
O atacante faz aquilo a que veio. Agora que tem controle e um canal, ele persegue o objetivo real: roubar dados, criptografar sistemas por resgate, adulterar registros ou se aprofundar na rede em direção a alvos de maior valor. Chegar a essa etapa geralmente envolve escalonamento de privilégios e movimento lateral pelo ambiente interno.
Neste ponto, a detecção é mais difícil e os danos estão mais próximos, razão pela qual o modelo pressiona os defensores a pegar os atacantes mais cedo. Entender como os atacantes sobem de um ponto de apoio de baixo privilégio até o controle total é conhecimento essencial de equipe azul; nosso guia sobre escalonamento de privilégios detalha as técnicas usadas nessa fase final.
Cyber kill chain vs MITRE ATT&CK
Esses dois referenciais são comparados o tempo todo, e quem é novo em segurança muitas vezes acha que precisa escolher um. Eles resolvem problemas diferentes e funcionam bem juntos.
A cyber kill chain é linear e estratégica. Ela lhe dá sete grandes fases e uma história simples: um ataque avança da esquerda para a direita, então empurre sua detecção o mais à esquerda possível. É fácil de explicar a um gestor e é um bom modelo mental para estruturar defesas em alto nível.
O MITRE ATT&CK é uma base de conhecimento granular do comportamento real dos adversários. Em vez de sete fases, ele cataloga quatorze táticas e centenas de técnicas específicas, cada uma documentada com exemplos reais e orientações de detecção. Não é linear, porque atacantes reais voltam, pulam e repetem passos. O ATT&CK diz exatamente como uma técnica funciona e como identificá-la.
| Aspecto | Cyber kill chain | MITRE ATT&CK |
|---|---|---|
| Estrutura | Linear, 7 etapas | Matriz, 14 táticas, centenas de técnicas |
| Nível | Estratégia de alto nível | Granular, técnica por técnica |
| Criado por | Lockheed Martin, 2011 | MITRE, primeira publicação em 2013 |
| Ideal para | Explicar o fluxo do ataque, planejar defesa em camadas | Detecção de ameaças, mapeamento red-team, análise de lacunas |
| Fraqueza | Focado em perímetro e malware | Amplo e complexo de adotar por completo |
A resposta prática: use a kill chain para explicar a forma de um ataque e estruturar suas camadas, e depois o ATT&CK para ser específico sobre as técnicas que precisa detectar em cada camada. Uma é o mapa, o outro é o detalhe no nível da rua.
Como os defensores quebram a kill chain
O motivo de o modelo importar é que quebrar um único elo interrompe o ataque. A Lockheed Martin associou as sete etapas a uma matriz de seis ações defensivas que você pode tomar contra uma atividade em qualquer etapa: detectar, negar, perturbar, degradar, enganar e destruir.
- Detectar. Saber que a atividade está acontecendo, por meio de registros, detecção de intrusão e monitoramento. Você não pode agir sobre o que não consegue ver.
- Negar. Impedir a atividade por completo, por exemplo corrigindo uma vulnerabilidade ou bloqueando um e-mail para que a entrega nunca chegue.
- Perturbar. Interromper um ataque em andamento, como matar um processo malicioso ou cortar uma conexão de C2 no meio da sessão.
- Degradar. Atrasar o atacante para que seu esforço custe mais do que rende, ganhando tempo para responder.
- Enganar. Fornecer informações falsas ao atacante, de forma mais óbvia com honeypots que o fazem perder tempo em alvos falsos.
- Destruir. Neutralizar a ameaça, geralmente como último recurso quando o ataque já está confirmado e contido.
Cruzar essas ações com as sete etapas produz uma defesa em camadas. Se o phishing vencer seu filtro de e-mail na entrega, a proteção de endpoints ainda pode negar a exploração. Se um ponto de apoio se instalar mesmo assim, o monitoramento de rede pode perturbar seu comando e controle. Nenhum controle precisa ser perfeito, porque o atacante precisa de todas as etapas enquanto você só precisa de uma quebra limpa. Essa lógica em camadas é o trabalho diário de um defensor; se esse lado o atrai, nosso guia de carreira de analista SOC explica como é a trilha da equipe azul.
Um ataque real através da kill chain
Modelos inspiram mais confiança quando se faz um exemplo concreto passar por eles. Pegue um padrão de invasão comum que termina em ransomware e observe-o avançar etapa por etapa.
Tudo começa com o reconhecimento: o atacante coleta no LinkedIn os nomes da equipe financeira e descobre que a empresa usa uma ferramenta de faturamento conhecida. No armamento, ele forja um documento de fatura com uma macro maliciosa adaptada a essa ferramenta. A entrega é um e-mail convincente para um funcionário de contas a pagar, referenciando um fornecedor real. Na exploração, o funcionário habilita as macros e a carga útil é executada. Durante a instalação, ela cria uma tarefa agendada para que o acesso sobreviva a uma reinicialização. O ponto de apoio então abre um comando e controle por HTTPS que parece tráfego web comum. Por fim, nas ações sobre os objetivos, o atacante escala privilégios, se espalha para os servidores de arquivos e detona o ransomware.
Agora leia do ponto de vista do defensor. A filtragem de e-mails poderia ter parado a entrega. Desabilitar macros por padrão poderia ter bloqueado a exploração. O monitoramento de endpoints poderia ter sinalizado a tarefa agendada na instalação. A inspeção do tráfego de saída poderia ter pego a baliza de C2. Qualquer uma dessas medidas quebra a corrente antes que o ransomware chegue a rodar. O medo do ponto único de falha que a segurança lhe inspira se inverte em ponto único de resgate: o atacante precisa vencer sete vezes seguidas, e você só precisa vencer uma.
Ao testar ambientes reais, é exatamente assim que um defensor reconstrói um incidente depois do fato, percorrendo as evidências de trás para frente pelas etapas para achar onde tudo começou e onde poderia ter sido interrompido. Ter praticado o caminho ofensivo primeiro é o que torna essa reconstrução intuitiva.
As limitações da cyber kill chain
O modelo é útil, mas tem quinze anos e isso aparece. Tratá-lo como palavra sagrada cria pontos cegos, então vale a pena ser honesto sobre onde ele fica aquém.
Sua maior fraqueza é o foco em perímetro e malware. A corrente clássica pressupõe um invasor externo que entra com uma carga útil maliciosa. Ela se aplica mal a um insider que já tem acesso legítimo, ao roubo de credenciais em que o atacante simplesmente faz login, e a ataques que nunca deixam um arquivo. Se não há malware armado, várias etapas quase não se aplicam.
Ela também tem dificuldade com a nuvem. O modelo foi escrito para um mundo de redes locais com um dentro e um fora nítidos. Em ambientes de nuvem e orientados por identidade, onde a fronteira é uma API e um token de acesso em vez de um firewall, o fluxo elegante da esquerda para a direita fica difuso. Ataques a buckets de armazenamento mal configurados ou a papéis com permissões excessivas não cabem direito nas sete caixas.
E ataques reais raramente são tão lineares quanto o diagrama. Os adversários voltam atrás, executam etapas em paralelo e pulam passos por completo. Esse é o principal motivo pelo qual muitas equipes hoje lideram com o MITRE ATT&CK para a engenharia de detecção e mantêm a kill chain como narrativa de alto nível. A forma certa de usá-la em 2026 é como modelo pedagógico e referencial estratégico, não como uma lista de verificação que todo ataque obedece à risca.
Considerações legais e éticas
Lembrete essencial: Entender como os ataques se desenrolam é conhecimento defensivo, mas praticar as etapas ofensivas exige autorização explícita. Executar reconhecimento, exploração ou comando e controle contra sistemas que você não possui ou não tem permissão escrita para testar constitui acesso não autorizado. Nos Estados Unidos, isso se enquadra no Computer Fraud and Abuse Act (CFAA, 18 USC 1030); o Reino Unido aplica o Computer Misuse Act 1990; e a UE aplica a Diretiva 2013/40/UE. Sempre obtenha autorização por escrito antes de testar qualquer sistema.
A kill chain é ensinada aos defensores justamente para que eles possam construir controles, responder a incidentes e raciocinar sobre adversários. A referência para o lado da resposta é o guia de tratamento de incidentes do NIST (SP 800-61), que corresponde de perto à detecção e à contenção de um atacante à medida que ele avança por essas etapas.
Existem três lugares para praticar as técnicas ofensivas de forma legal: engajamentos autorizados de teste de penetração sob contrato assinado, programas de bug bounty dentro do escopo publicado, e plataformas de labs isolados feitas para serem atacadas. Os labs da HackerDNA são o terceiro: alvos vulneráveis reais sem qualquer risco jurídico, enquanto você aprende toda a cadeia dos dois lados.
Perguntas frequentes
Quem criou a cyber kill chain?
A Lockheed Martin criou a cyber kill chain, publicando-a em um artigo de 2011 assinado por Eric Hutchins, Michael Cloppert e Rohan Amin. Eles adaptaram o conceito militar de kill chain à defesa de redes de computadores, argumentando que invasões são campanhas estruturadas com fases detectáveis, e não eventos isolados. A abordagem é frequentemente chamada de defesa orientada por inteligência.
Quais são as 7 etapas da cyber kill chain?
As sete etapas são reconhecimento, armamento, entrega, exploração, instalação, comando e controle, e ações sobre os objetivos. Elas seguem em ordem, cada uma dependendo da anterior, de modo que um atacante precisa completar todas para ter sucesso. Quebrar uma única etapa interrompe todo o ataque, que é a ideia central do modelo.
Qual é a diferença entre a cyber kill chain e o MITRE ATT&CK?
A cyber kill chain é um modelo linear e de alto nível das sete fases de um ataque, ideal para explicar a forma de uma invasão. O MITRE ATT&CK é uma base de conhecimento detalhada e não linear de quatorze táticas e centenas de técnicas específicas, usada para detecção e mapeamento red-team. A maioria das equipes usa a kill chain para a estratégia e o ATT&CK para o detalhe no nível das técnicas.
A cyber kill chain ainda é relevante em 2026?
Sim, como modelo pedagógico e referencial estratégico, embora não como uma lista de verificação literal. Ela continua sendo um jeito excelente de explicar como os ataques avançam e de estruturar defesas em camadas. Seus limites aparecem com ameaças internas, ataques baseados em credenciais e ambientes de nuvem, motivo pelo qual muitas equipes a combinam com o MITRE ATT&CK para o trabalho de detecção detalhado.
Qual etapa é o melhor lugar para parar um atacante?
O mais cedo possível, idealmente antes da exploração. Detectar o reconhecimento ou bloquear a entrega custa muito pouco ao atacante e quase nada a você para se recuperar. Quanto mais tarde você pega uma invasão, mais perto ela está das ações sobre os objetivos, onde os dados já estão saindo ou os sistemas já estão criptografados e o dano é real.
Como a kill chain ajuda os defensores?
Ela permite que os defensores associem controles de segurança a cada etapa e construam uma defesa em camadas, de modo que nenhum controle precise ser perfeito. Como o atacante precisa completar todas as etapas, mas o defensor só precisa quebrar uma, o modelo transforma um ponto único de falha em várias chances de intervir. Ele também dá às equipes um vocabulário comum sobre em que ponto está um ataque e o que fazer em seguida.
Seus próximos passos
Vale a pena internalizar a cyber kill chain porque ela muda a forma como você enxerga um ataque. Em vez de um único evento aterrorizante, uma violação vira uma sequência com sete chances de intervir, e o seu papel como defensor é garantir que o atacante falhe em pelo menos uma delas. Como atacante ou pentester, é a lista de verificação que os seus próprios engajamentos seguem, do primeiro scan ao objetivo final.
A forma mais rápida de fixar o modelo é executar as etapas você mesmo. Comece pelo lab Hack the Box para ir do reconhecimento a um ponto de apoio e depois ao escalonamento de privilégios em um único alvo, e então encare o curso completo de teste de penetração em redes para percorrer reconhecimento, exploração, comando e controle, e pós-exploração em uma rede ao vivo, de ponta a ponta.
O plano gratuito da HackerDNA lhe dá labs no navegador, sem cartão de crédito e sem instalação local. Aprenda a cadeia dos dois lados e você verá onde todo ataque pode se quebrar.
Última revisão: julho de 2026.
