Боковое перемещение — это способ, которым злоумышленник продвигается по сети после первоначального взлома. Он начинает с одного компьютера, часто с ноутбука пользователя. Оттуда он ищет учетные данные, сетевые ресурсы и инструменты удаленного доступа. Каждый шаг приближает его к ценным данным. Цель — получить доступ к контроллерам домена, базам данных и системам резервного копирования, не вызывая срабатывания сигнализации.

К распространенным методам относятся pass-the-hash, когда злоумышленник использует хэш пароля вместо самого пароля для аутентификации. Протокол удаленного рабочего стола позволяет им входить в систему на других машинах, используя украденные учетные данные. Совместное использование блоков сообщений сервера раскрывает файлы и иногда позволяет выполнять код. Злоумышленники используют встроенные инструменты, такие как PowerShell и WMI, поскольку они интегрируются с обычным администрированием. Для обнаружения горизонтального перемещения требуется информация о событиях аутентификации, сетевых подключениях и выполнении процессов. Внезапный всплеск неудачных попыток входа в систему, необычные RDP-подключения или учетные записи служб, входящие в систему с рабочих станций, — все это тревожные сигналы. Сегментация ограничивает возможности злоумышленника. Если скомпрометированный ноутбук не может напрямую связаться с сервером базы данных, злоумышленнику приходится искать другой путь. Каждая граница сегмента — это препятствие. Достаточное их количество делает атаку слишком медленной и неэффективной для успешного завершения.

техники боковых движений

• Pass-the-hash — повторное использование хешей паролей для аутентификации.
• Удаленный рабочий стол — вход на другие компьютеры с использованием украденных учетных данных.
• PsExec и WMI — удалённое выполнение с использованием встроенных инструментов.
• Извлечение учетных данных — выгрузка учетных данных из памяти.

Серьезные проблемы возникают при боковом перемещении. Первоначальный задел неэффективен. Распространение еще хуже.