Una catena di consegna è la sequenza di passaggi che un attaccante usa per spostare un payload malevolo dall’esca iniziale fino all’esecuzione su un dispositivo vittima. Può includere la consegna tramite email, un link o un allegato, un messaggio di follow-up, una fase di download, uno script e infine il payload che viene eseguito sull’endpoint.
Questo è importante perché spesso i difensori si concentrano sulla prima esca, ma la compromissione reale può avvenire più avanti nella catena. Gli attaccanti possono suddividere la consegna in più fasi per eludere i filtri, ritardare i sospetti o attendere l’interazione dell’utente, come una risposta o un clic. In pratica, i difensori cercano cambiamenti nella catena: allegati inattesi in una conversazione familiare, nuove istruzioni di download, passaggi di tipo file diversi o il comportamento dei processi sull’endpoint. La sicurezza della posta, il filtraggio web e l’EDR funzionano meglio quando vengono correlati lungo l’intera catena, non trattati come eventi separati.