Η πλευρική κίνηση είναι ο τρόπος με τον οποίο ένας εισβολέας κινείται μέσα σε ένα δίκτυο μετά την αρχική παραβίαση. Ξεκινά από ένα μηχάνημα, συχνά από τον φορητό υπολογιστή ενός χρήστη. Από εκεί, αναζητά διαπιστευτήρια, κοινόχρηστα στοιχεία δικτύου και εργαλεία απομακρυσμένης πρόσβασης. Κάθε βήμα τον φέρνει πιο κοντά σε πολύτιμα δεδομένα. Ο στόχος είναι να φτάσει σε ελεγκτές τομέα, βάσεις δεδομένων και συστήματα αντιγράφων ασφαλείας χωρίς να ενεργοποιηθούν συναγερμοί.

Συνήθεις τεχνικές περιλαμβάνουν την pass-the-hash, όπου ο εισβολέας χρησιμοποιεί ένα hash κωδικού πρόσβασης αντί για τον κωδικό πρόσβασης για έλεγχο ταυτότητας. Το πρωτόκολλο απομακρυσμένης επιφάνειας εργασίας τους επιτρέπει να συνδέονται σε άλλα μηχανήματα με κλεμμένα διαπιστευτήρια. Τα κοινόχρηστα μπλοκ μηνυμάτων διακομιστή εκθέτουν αρχεία και μερικές φορές επιτρέπουν την εκτέλεση κώδικα. Οι εισβολείς χρησιμοποιούν ενσωματωμένα εργαλεία όπως το PowerShell και το WMI, επειδή ενσωματώνονται στην κανονική διαχείριση. Η ανίχνευση πλευρικής κίνησης απαιτεί ορατότητα σε συμβάντα ελέγχου ταυτότητας, συνδέσεις δικτύου και εκτέλεση διεργασιών. Μια ξαφνική αύξηση στις αποτυχημένες συνδέσεις, οι ασυνήθιστες συνδέσεις RDP ή οι λογαριασμοί υπηρεσιών που συνδέονται από σταθμούς εργασίας είναι όλα κόκκινες σημαίες. Η τμηματοποίηση περιορίζει το πόσο μακριά μπορεί να φτάσει ένας εισβολέας. Εάν ο παραβιασμένος φορητός υπολογιστής δεν μπορεί να φτάσει απευθείας στον διακομιστή βάσης δεδομένων, ο εισβολέας πρέπει να βρει μια άλλη διαδρομή. Κάθε όριο τμήματος είναι ένα εμπόδιο ταχύτητας. Αρκετά από αυτά κάνουν την επίθεση πολύ αργή και θορυβώδη για να πετύχει.

Τεχνικές πλευρικής κίνησης

• Μεταβίβαση κατακερματισμού — επαναχρησιμοποίηση κατακερματισμών κωδικού πρόσβασης για έλεγχο ταυτότητας
• Απομακρυσμένη επιφάνεια εργασίας — συνδεθείτε σε άλλα μηχανήματα με κλεμμένα διαπιστευτήρια
• PsExec και WMI — απομακρυσμένη εκτέλεση χρησιμοποιώντας ενσωματωμένα εργαλεία
• Αποθήκευση διαπιστευτηρίων — εξαγωγή διαπιστευτηρίων από τη μνήμη

Η πλευρική κίνηση είναι το σημείο όπου οι παραβιάσεις γίνονται σοβαρές. Η αρχική στήριξη είναι κακή. Η εξάπλωση είναι χειρότερη.