Le déplacement latéral est la manière dont un attaquant se déplace au sein d'un réseau après la compromission initiale. Il commence par une machine, souvent l'ordinateur portable d'un utilisateur. De là, il recherche des identifiants, des partages réseau et des outils d'accès à distance. Chaque étape le rapproche des données sensibles. L'objectif est d'atteindre les contrôleurs de domaine, les bases de données et les systèmes de sauvegarde sans déclencher d'alerte.

Les techniques courantes incluent le « pass-the-hash », où l'attaquant utilise le hachage d'un mot de passe au lieu du mot de passe lui-même pour s'authentifier. Le protocole RDP (Remote Desktop Protocol) lui permet de se connecter à d'autres machines avec des identifiants volés. Les partages de messages SMB (Server Message Block) exposent des fichiers et permettent parfois l'exécution de code. Les attaquants utilisent des outils intégrés comme PowerShell et WMI car ils se fondent dans l'administration système. La détection des déplacements latéraux nécessite une visibilité sur les événements d'authentification, les connexions réseau et l'exécution des processus. Une augmentation soudaine des échecs de connexion, des connexions RDP inhabituelles ou des comptes de service se connectant depuis des postes de travail sont autant de signaux d'alerte. La segmentation limite la portée d'une attaque. Si l'ordinateur portable compromis ne peut pas accéder directement au serveur de base de données, l'attaquant doit trouver un autre chemin. Chaque limite de segment constitue un obstacle. Un nombre suffisant de ces limites ralentit et perturbe l'attaque, la rendant inefficace.

Techniques de déplacement latéral

• Pass-the-hash — réutiliser les hachages de mots de passe pour s'authentifier
• Bureau à distance — se connecter à d’autres machines avec des identifiants volés
• PsExec et WMI — exécution à distance à l'aide d'outils intégrés
• Extraction des identifiants — extraire les identifiants de la mémoire

C’est lors des mouvements latéraux que les brèches deviennent graves. Le point d’ancrage initial est mauvais. La propagation est pire.