Pergerakan lateral adalah cara penyerang bergerak melalui jaringan setelah peretasan awal. Mereka mulai dari satu mesin, seringkali laptop pengguna. Dari sana, mereka mencari kredensial, berbagi jaringan, dan alat akses jarak jauh. Setiap langkah membawa mereka lebih dekat ke data berharga. Tujuannya adalah untuk mencapai pengendali domain, basis data, dan sistem cadangan tanpa memicu alarm.

Teknik umum meliputi pass-the-hash, di mana penyerang menggunakan hash kata sandi alih-alih kata sandi untuk otentikasi. Protokol desktop jarak jauh memungkinkan mereka masuk ke mesin lain dengan kredensial yang dicuri. Berbagi blok pesan server mengekspos file dan terkadang memungkinkan eksekusi kode. Penyerang menggunakan alat bawaan seperti PowerShell dan WMI karena alat-alat tersebut menyatu dengan administrasi normal. Mendeteksi pergerakan lateral membutuhkan visibilitas ke dalam peristiwa otentikasi, koneksi jaringan, dan eksekusi proses. Lonjakan tiba-tiba dalam upaya login yang gagal, koneksi RDP yang tidak biasa, atau akun layanan yang masuk dari workstation semuanya merupakan tanda bahaya. Segmentasi membatasi seberapa jauh penyerang dapat bergerak. Jika laptop yang disusupi tidak dapat mencapai server basis data secara langsung, penyerang harus menemukan jalur lain. Setiap batas segmen adalah hambatan. Jika terlalu banyak hambatan, serangan akan terlalu lambat dan berisik untuk berhasil.

Teknik gerakan lateral

• Pass-the-hash — menggunakan kembali hash kata sandi untuk otentikasi.
• Akses desktop jarak jauh — masuk ke mesin lain dengan kredensial yang dicuri.
• PsExec dan WMI — eksekusi jarak jauh menggunakan alat bawaan.
• Pengambilan kredensial — mengekstrak kredensial dari memori

Pergerakan lateral adalah titik di mana pelanggaran menjadi serius. Pijakan awal itu buruk. Penyebarannya lebih buruk lagi.