Laterale beweging is de manier waarop een aanvaller zich door een netwerk verplaatst na de initiële inbreuk. Ze beginnen op één machine, vaak de laptop van een gebruiker. Van daaruit zoeken ze naar inloggegevens, netwerkshares en tools voor toegang op afstand. Elke stap brengt hen dichter bij waardevolle gegevens. Het doel is om domeincontrollers, databases en back-upsystemen te bereiken zonder alarmen te activeren.

Veelgebruikte technieken zijn onder andere pass-the-hash, waarbij de aanvaller een wachtwoordhash in plaats van het wachtwoord gebruikt voor authenticatie. Remote Desktop Protocol (RDP) stelt hen in staat om met gestolen inloggegevens in te loggen op andere machines. Server Message Block Shares (SMBS) leggen bestanden bloot en maken soms code-uitvoering mogelijk. Aanvallers gebruiken ingebouwde tools zoals PowerShell en WMI omdat deze opgaan in de normale beheeromgeving. Het detecteren van laterale beweging vereist inzicht in authenticatiegebeurtenissen, netwerkverbindingen en procesuitvoering. Een plotselinge piek in mislukte aanmeldingen, ongebruikelijke RDP-verbindingen of serviceaccounts die vanaf werkstations inloggen, zijn allemaal waarschuwingssignalen. Segmentatie beperkt de mogelijkheden van een aanvaller. Als de gecompromitteerde laptop de databaseserver niet rechtstreeks kan bereiken, moet de aanvaller een ander pad vinden. Elke segmentgrens is een obstakel. Te veel van deze obstakels maken de aanval te traag en te opvallend om te slagen.

Technieken voor zijwaartse beweging

• Pass-the-hash — hergebruik wachtwoordhashes voor authenticatie
• Extern bureaublad — inloggen op andere computers met gestolen inloggegevens
• PsExec en WMI — uitvoering op afstand met behulp van ingebouwde tools
• Credential dumping — het extraheren van inloggegevens uit het geheugen

Zijwaartse beweging is waar doorbraken ernstig worden. De eerste stap is slecht. De verdere verspreiding is nog erger.