El movimiento lateral es la forma en que un atacante se desplaza por una red tras la intrusión inicial. Comienza en un equipo, generalmente el portátil de un usuario. Desde allí, busca credenciales, recursos compartidos de red y herramientas de acceso remoto. Cada paso lo acerca a datos valiosos. El objetivo es acceder a los controladores de dominio, las bases de datos y los sistemas de copia de seguridad sin activar las alarmas.

Las técnicas comunes incluyen el ataque pass-the-hash, donde el atacante usa un hash de contraseña en lugar de la contraseña para autenticarse. El protocolo de escritorio remoto les permite iniciar sesión en otras máquinas con credenciales robadas. Los recursos compartidos de bloques de mensajes del servidor exponen archivos y, a veces, permiten la ejecución de código. Los atacantes usan herramientas integradas como PowerShell y WMI porque se mimetizan con la administración normal. Detectar el movimiento lateral requiere visibilidad de los eventos de autenticación, las conexiones de red y la ejecución de procesos. Un aumento repentino en los inicios de sesión fallidos, conexiones RDP inusuales o cuentas de servicio que inician sesión desde estaciones de trabajo son señales de alerta. La segmentación limita hasta dónde puede llegar un atacante. Si la computadora portátil comprometida no puede acceder directamente al servidor de la base de datos, el atacante tiene que encontrar otra ruta. Cada límite de segmento es un obstáculo. Suficientes de ellos hacen que el ataque sea demasiado lento y ruidoso para tener éxito.

Técnicas de movimiento lateral

• Pass-the-hash: reutiliza los hashes de las contraseñas para autenticarse.
• Escritorio remoto: inicie sesión en otras máquinas con credenciales robadas.
• PsExec y WMI: ejecución remota mediante herramientas integradas
• Volcado de credenciales: extraer credenciales de la memoria

El movimiento lateral es donde las brechas se vuelven serias. El punto de apoyo inicial es malo. La propagación es peor.