Atak to każda próba włamania się, zakłócenia lub uszkodzenia systemu. Motywy są różne. Najczęściej napędzają go pieniądze. Oprogramowanie ransomware, włamania do firmowej poczty e-mail i skimming kart – wszystkie te metody zamieniają dostęp na gotówkę. Szpiegostwo, aktywizm i zwykła ciekawość to wszystko. Technika ma mniejsze znaczenie niż wynik. Liczy się to, czy ktoś uzyska dostęp, którego nie powinien.

Ataki przebiegają etapami. Rekonesans gromadzi informacje o celu. Uzbrojenie tworzy narzędzie. Dostawca wysyła je, często za pośrednictwem wiadomości phishingowej lub zainfekowanej strony internetowej. Wykorzystanie luki w zabezpieczeniach powoduje jej wykorzystanie. Instalacja zapewnia stały dostęp. System dowodzenia i kontroli otwiera kanał dostępu dla atakującego. Działania na rzecz realizacji celów, niezależnie od tego, czy jest to eksfiltracja, szyfrowanie, czy sabotaż, realizują cel. Obrońcy, którzy rozumieją łańcuch, mogą go przerwać w dowolnym punkcie. Zablokowanie wiadomości phishingowej zatrzymuje atak przed jego wykorzystaniem. Monitorowanie ruchu wychodzącego wychwytuje sygnały dowodzenia i kontroli po instalacji. Żaden pojedynczy system kontroli nie zatrzymuje wszystkiego. Warstwowa obrona zyskuje czas.

Typowe kategorie ataków

• Sieć — wykorzystywanie odsłoniętych usług i protokołów
• Inżynieria społeczna — manipulowanie ludźmi, aby pomagali
• Łańcuch dostaw — narażanie zaufanego oprogramowania lub dostawców
• Insider — nadużycie legalnego dostępu przez pracownika lub kontrahenta

Większość skutecznych ataków nie jest technicznie genialna. Wykorzystują niezałatane systemy, wielokrotnie używane hasła i ludzi w pośpiechu.