Come individuare e prevenire gli attacchi con movimento laterale

Alcuni anni fa, durante un'indagine di routine a seguito di un attacco di phishing, il team di sicurezza riteneva che il danno fosse circoscritto. Durante l'attacco, il computer portatile di un dipendente era stato compromesso. Il team di sicurezza aveva rimosso il malware e reimpostato la password.

Ma la mattina successiva, quando gli analisti hanno iniziato a esaminare i registri di autenticazione, è emerso qualcosa di strano. Lo stesso account compromesso si era connesso durante la notte a tre server interni. Poi a un server di database. Infine, a un controller di backup.

Inizialmente non è stato rilevato alcun problema perché ogni azione utilizzava credenziali legittime e strumenti amministrativi integrati.

È esattamente così che un attacco di movimento laterale Si diffonde. L'attaccante non sfonda le difese. Si muove silenziosamente da un sistema affidabile all'altro finché non raggiunge qualcosa di valore.

La maggior parte delle violazioni non diventa catastrofica durante la compromissione iniziale. Diventano catastrofiche durante movimento laterale negli ambienti di sicurezza informatica, dove gli aggressori estendono il loro accesso attraverso la rete. La vera sfida non è fermare la prima intrusione. È individuare e contenere ciò che accade in seguito.

Che cos'è il movimento laterale nella sicurezza informatica?

Il movimento laterale è una tecnica in cui, dopo una compromissione iniziale, gli aggressori utilizzano credenziali rubate e strumenti affidabili per navigare tra i sistemi, elevare i privilegi e infine individuare risorse di alto valore.

Consiste nello spostarsi da una macchina all'altra (lateralmente) per evitare di essere scoperti e mappare la rete, solitamente utilizzando credenziali rubate o strumenti legittimi.

Ciò che rende particolarmente pericoloso il movimento laterale è che gli aggressori raramente introducono nuovi strumenti. Si affidano a ciò che è già presente nell'ambiente: Remote Desktop Protocol, PowerShell, Windows Management Instrumentation, PsExec e account amministratore legittimi. Questo viene talvolta definito "sfruttare le risorse esistenti" e significa che la propria infrastruttura diventa il vettore di attacco.

Questo è anche il motivo per cui il rilevamento è difficile. Non è possibile bloccare l'utilizzo di RDP su larga scala in un'azienda. Non è possibile segnalare ogni singolo comando PowerShell. Pertanto, gli aggressori si nascondono all'interno dei comportamenti normali, che sono proprio i punti deboli della maggior parte delle strategie di monitoraggio.

Come funziona il movimento laterale (il ciclo di vita dell'attacco)

Nel movimento laterale, gli aggressori espandono l'accesso gradualmente, utilizzando identità rubate e strumenti legittimi per eludere il rilevamento. Comprendere il ciclo di vita dell'attacco è il primo passo per implementare controlli efficaci.

Fase 1: Compromesso iniziale

Ogni attacco con movimento laterale inizia da qualche parte. I punti di ingresso più comuni includono:

• Email di phishing che rubano le credenziali
• Applicazioni web vulnerabili
• Servizi RDP o VPN esposti
• Strumenti di sviluppo compromessi

Per gli aggressori, il punto di ingresso stesso raramente coincide con l'obiettivo. La loro priorità, dopo la violazione iniziale, è rimanere in silenzio ed espandersi a partire da lì. Col tempo, i team di sicurezza a volte interrompono le indagini a questo punto.

Fase 2: Raccolta delle credenziali

Una volta penetrati all'interno di un singolo sistema, gli aggressori tentano di trovare le credenziali. Gli obiettivi più comuni includono:

• Credenziali di dominio memorizzate nella cache
• Biglietti Kerberos
• Hash delle password NTLM
• Password degli account di servizio
• Token memorizzati nella memoria

Se il computer compromesso appartiene a un amministratore, l'attaccante potrebbe già possedere credenziali in grado di accedere a più server.

Fase 3: Ricognizione interna

Una volta in possesso di credenziali valide, gli aggressori iniziano a mappare l'ambiente. Questa fase appare come una legittima attività amministrativa. In genere include:

• Enumerazione di utenti e gruppi di Active Directory
• Identificazione dei controller di dominio
• Scansione degli intervalli IP interni
• Individuazione di condivisioni di file e database
• Identificazione dei server di backup

Questa fase di ricognizione rivela quali sistemi contengono dati sensibili e quali account dispongono di privilegi elevati. A partire da qui, l'attaccante decide dove muovere successivamente.

Fase 4: Propagazione laterale

A questo punto l'attaccante entra in azione. Utilizzando le credenziali e la mappa di rete che ha creato, spesso si avvale di strumenti amministrativi nativi già considerati affidabili dall'ambiente. Questa fase prevede:

• Sessioni RDP da workstation compromesse ai server
• Connessioni SMB tramite hash NTLM raccolti
• Comunicazione remota di PowerShell
• Creazione di attività pianificate

L'attaccante agisce con cautela: testa l'accesso, lo convalida discretamente e procede solo quando è sicuro. E poiché questi strumenti sono legittimi, se il monitoraggio si basa sugli eventi anziché sul comportamento, le attività dannose spesso non vengono rilevate.

Fase 5: Accesso al gioiello della corona

Questa è la fase finale. Alla fine, gli aggressori raggiungono risorse di alto valore come controller di dominio, database finanziari, infrastrutture di backup, repository di codice sorgente e console di gestione del cloud.

Una volta compromessi questi sistemi, l'organizzazione si trova ad affrontare l'esfiltrazione dei dati, la diffusione di ransomware o l'installazione persistente di backdoor.

A questo punto il danno è già fatto e il contenimento diventa estremamente difficile. Tutto ciò che è accaduto prima di questa fase è stato l'attacco. La scoperta avviene proprio quando ci si rende conto di quanto è successo.

Tecniche comuni di movimento laterale ed esempi

Gli aggressori si affidano a tecniche ben note per spostarsi all'interno delle reti. Comprendere questi esempi di movimento laterale aiuta i team di sicurezza a individuare tempestivamente le attività sospette.

• Passa l'hash (PtH) / Passa il biglietto (PtT): Anziché decifrare un hash NTLM catturato, l'attaccante lo utilizza direttamente per autenticarsi su altri sistemi. Non è necessaria alcuna password. In questo modo si aggira l'autenticazione su qualsiasi sistema a cui quell'account ha accesso e l'attacco viene eseguito in modo silenzioso perché l'autenticazione di Windows accetta l'hash come valido.
• Abuso di RDP: Il protocollo RDP (Remote Desktop Protocol) è ampiamente utilizzato dagli amministratori di sistema, e i malintenzionati lo sanno bene. Sfruttano le credenziali rubate per connettersi direttamente ai server tramite RDP, oppure concatenano più passaggi RDP per nascondere il loro percorso. RDP crea inoltre una sessione grafica che può essere più difficile da monitorare rispetto all'attività da riga di comando.
• WMI e PowerShell Remoting: Windows Management Instrumentation e PowerShell Remoting sono strumenti amministrativi legittimi che operano in rete. Gli aggressori li utilizzano per eseguire comandi su macchine remote senza dover copiare file, riducendo significativamente la propria presenza sul sistema.
• Furto d'identità con token: Nei sistemi in cui un utente malintenzionato ha accesso di amministratore locale, può rubare i token di autenticazione dai processi in esecuzione (inclusi quelli appartenenti agli amministratori di dominio che hanno effettuato l'accesso di recente) e impersonare tali identità senza mai aver bisogno delle credenziali sottostanti.
• Creazione di servizi remoti: Utilizzando strumenti come sc.exe o Sysinternals PsExec, gli aggressori creano e avviano servizi su macchine remote per eseguire codice arbitrario. Questa tecnica lascia delle tracce nei registri eventi, ma spesso queste sono nascoste in ambienti ad alto volume di traffico dove nessuno le monitora attivamente.

Come individuare precocemente i movimenti laterali

Identità di base e comportamento delle risorse

Comprendere il comportamento normale delle identità è una delle tecniche di rilevamento più efficaci. Se non si conosce l'aspetto del comportamento normale per ogni account e ogni sistema nel proprio ambiente, non è possibile rilevare le anomalie in modo efficace. Gli approcci di analisi del comportamento di utenti ed entità (UEBA), sia tramite strumenti dedicati che integrati nel SIEM, creano parametri di riferimento che rendono visibili i modelli di movimento laterale.

Monitorare il traffico est-ovest

La maggior parte delle organizzazioni dispone di un solido monitoraggio nord-sud (traffico in entrata e in uscita dalla rete). Il traffico est-ovest tra i sistemi interni è il canale attraverso cui si propagano gli attacchi e spesso non viene monitorato. Implementate la visibilità della rete interna con strumenti che registrino le connessioni tra endpoint, server e controller di dominio.

Correlare gli eventi di autenticazione nell'intero ambiente

Un singolo tentativo di autenticazione fallito è un dato insignificante. Quindici tentativi di autenticazione falliti dallo stesso account sorgente verso sistemi diversi in un breve lasso di tempo indicano uno schema di attacco. L'accesso di un utente a sistemi a cui normalmente non accede dovrebbe far scattare un'indagine.

Rileva percorsi di autenticazione anomali

Una workstation di sviluppo che si autentica al controller di dominio alle 2 del mattino utilizzando credenziali di amministratore che normalmente consentono l'accesso solo durante l'orario lavorativo da una sottorete specifica è un'anomalia che merita di essere indagata. Definisci dei parametri di riferimento per i modelli di autenticazione normali e attiva un avviso in caso di deviazioni.

Avviso sull'utilizzo degli strumenti di amministrazione in contesti insoliti

L'esecuzione di PsExec da una workstation utente, l'avvio di PowerShell Remoting da un host non amministratore, l'esecuzione sequenziale di query WMI su più sistemi: questi schemi indicano un potenziale movimento laterale anche quando i singoli eventi sembrano legittimi.

Come prevenire il movimento laterale

La sola individuazione non basta. L'obiettivo è rendere il movimento laterale operativamente così difficile da impedire agli aggressori di eseguirlo silenziosamente e, idealmente, contenere qualsiasi violazione al punto iniziale di compromissione.

Applicare l'accesso con privilegio minimo

I privilegi amministrativi permanenti sono uno dei principali fattori che facilitano la mobilità orizzontale all'interno dell'organizzazione, e l'applicazione del principio del minimo privilegio è un controllo fondamentale per prevenirla. Se gli account privilegiati hanno accesso solo ai sistemi e alle risorse di cui hanno effettivamente bisogno, e solo per il periodo di tempo necessario, l'impatto di un'eventuale violazione è limitato.

I team di sicurezza dovrebbero:

• Rimuovere i diritti di amministratore locale non necessari.
• Account separati per amministratori e utenti standard.
• Implementare l'elevazione dei privilegi just-in-time (JIT).

In pratica, però, il principio del minimo privilegio è difficile da mantenere perché richiede una governance continua. Le organizzazioni spesso concedono l'accesso in modo permissivo al momento della creazione degli account e quasi mai lo revocano. Un sistema di governance degli accessi privilegiati può essere utile in questo contesto per rivedere e verificare costantemente i livelli di accesso e garantire il rispetto del principio del minimo privilegio.

Implementare la gestione degli accessi privilegiati (PAM)

Ogni tentativo di movimento laterale ha lo scopo di ottenere credenziali privilegiate per sistemi con restrizioni. gestione degli accessi privilegiati (PAM) In questo caso, un sistema come miniOrange PAM può essere d'aiuto controllando:

• Archiviazione e rotazione delle credenziali

Una soluzione PAM individua le password privilegiate nell'intera infrastruttura e le archivia in un vault sicuro, da cui vengono consultate solo quando necessario, tramite un flusso di lavoro controllato. Le password vengono ruotate a intervalli regolari, in modo che, anche in caso di furto, diventino rapidamente non valide.

• Gestione degli accessi just-in-time

PAM consente agli amministratori di concedere l'accesso privilegiato su un su base just-in-time per la durata richiesta e con i soli diritti necessari, rendendo più difficile il movimento laterale.

• Monitoraggio della sessione

Uno strumento PAM fornisce Registrazione e monitoraggio in tempo reale delle sessioni privilegiateche aiuta a rilevare attività laterali dannose in tempo reale e a conservare le registrazioni per le indagini.

Una moderna piattaforma PAM è spesso sufficiente per aiutare le organizzazioni a proteggersi dagli attacchi di movimento laterale, implementando al contempo una sicurezza rigorosa contro quasi ogni tipo di attacco informatico e garantendo la conformità dell'organizzazione in materia di sicurezza.

Implementa la segmentazione della rete

Una rete piatta è un'autostrada per la mobilità laterale. Se una workstation compromessa può comunicare liberamente con ogni server, database e controller di dominio nell'ambiente, gli aggressori sfrutteranno sistematicamente questa libertà. La segmentazione la elimina.

Il principio alla base è il blocco predefinito tra le zone. Il traffico tra workstation degli utenti e server, tra server e controller di dominio e tra ambienti deve essere esplicitamente consentito in base a esigenze aziendali documentate, non permesso perché non è mai stato bloccato nulla. Negli ambienti cloud, la microsegmentazione va oltre, limitando la comunicazione tra singoli carichi di lavoro anziché solo tra ampie zone di rete.

Gli ambienti legacy rendono la segmentazione davvero difficile. Anni di dipendenze applicative non documentate fanno sì che il blocco di una porta spesso provochi malfunzionamenti imprevisti. L'approccio più pratico è quello di iniziare con gli obiettivi di maggior valore: controller di dominio, infrastrutture di backup e database. Segmentare prima questi elementi e procedere gradualmente verso l'esterno.

Implementare un'autenticazione forte ovunque

L'autenticazione a più fattori (MFA) impedisce che le password rubate siano immediatamente utilizzabili. Tuttavia, da sola non è sufficiente a bloccare i movimenti laterali nella rete: l'MFA rimane fondamentale per VPN, RDP, SSH e per l'autenticazione a più fattori in caso di azioni sensibili che richiedono privilegi elevati. Deve però essere abbinata alla protezione delle credenziali a livello di endpoint.

Proteggere la memoria di LSASS tramite Windows Credential Guard sposta i segreti delle credenziali in un ambiente isolato a cui il sistema operativo principale non può accedere direttamente. Questo impedisce la tecnica di estrazione di informazioni dalla memoria su cui gli aggressori fanno affidamento dopo una compromissione iniziale. Gli account di servizio meritano un'attenzione particolare: le credenziali che non vengono ruotate da anni e sono condivise tra più sistemi rappresentano un punto di accesso affidabile. Le identità gestite per i carichi di lavoro cloud e la rotazione automatica degli account di servizio eliminano questa superficie di attacco.

Proteggi le credenziali alla fonte

Molte tecniche di movimento laterale si basano sul furto di credenziali. Se le credenziali non possono essere rubate dagli endpoint, il ciclo di vita dell'attacco si interrompe precocemente.

• Disabilita la memorizzazione nella cache delle credenziali sulle workstation in cui non è richiesto a livello operativo. Le credenziali memorizzate nella cache sono un obiettivo primario durante gli attacchi basati sulla memoria.
• Proteggere la memoria LSASS utilizzando Windows Credential Guard, che sposta i segreti delle credenziali in un ambiente isolato basato sulla virtualizzazione, inaccessibile al sistema operativo principale.
• Utilizzare le identità dei servizi gestiti Per applicazioni e carichi di lavoro che necessitano di autenticarsi a servizi cloud o API. Rimuovere completamente le credenziali codificate direttamente nel codice e nella configurazione.
• Ruotare le credenziali dell'account di servizio Regolarmente. Molte violazioni riguardano credenziali di account di servizio che non sono cambiate da anni e vengono utilizzate su più sistemi.

Adotta il modello Zero Trust e rafforza Active Directory.

Il modello Zero Trust si basa su un unico principio: nessuna fiducia implicita, indipendentemente dalla posizione nella rete. Una workstation all'interno della rete aziendale non è automaticamente autorizzata ad accedere ai server sulla stessa rete. Ogni connessione deve essere autenticata, autorizzata e convalidata.

In pratica, questo significa:

• Verifica continua dell'identità e dello stato di salute del dispositivo, non solo al primo accesso
• Validazione della postura del dispositivo per garantire che solo i dispositivi gestiti e conformi possano accedere alle risorse sensibili
• Nessuna fiducia interna implicita significa che anche la comunicazione interna tra servizi richiede l'autenticazione

Zero Trust è una filosofia architetturale, non un prodotto. La sua implementazione completa richiede tempo e il supporto dei team di rete, gestione delle identità e sicurezza. Iniziate dai percorsi di accesso a più alto rischio.

Rafforzare Active Directory

Active Directory è l'obiettivo più ambito nella maggior parte degli ambienti aziendali. Controllare AD significa controllare tutto. Gli aggressori lo sanno. Molte tecniche di movimento laterale prendono di mira specificamente le vulnerabilità di AD.

• Implementare un modello amministrativo a livelli con livelli separati: Tier 0 (controller di dominio e infrastruttura di identità), Tier 1 (server e applicazioni) e Tier 2 (workstation), in modo che le credenziali dei livelli inferiori non possano essere utilizzate per l'autenticazione ai livelli superiori.
• Limitare l'utilizzo da parte dell'amministratore di dominio Solo ai controller di dominio. Gli amministratori di dominio non devono mai accedere alle workstation o ai server membri, perché in tal caso le loro credenziali sarebbero esposte al rischio di furto.
• Monitorare il traffico di replica di Active Directory per gli attacchi DCSync, in cui un utente malintenzionato con privilegi sufficienti simula un controller di dominio e richiede gli hash delle password per tutti gli account.
• Disabilita la delega Kerberos non vincolata su tutti i sistemi, tranne dove strettamente necessario. La delega illimitata è una vulnerabilità ben documentata che consente l'impersonificazione delle credenziali all'interno del dominio.

Come miniOrange PAM aiuta a fermare il movimento laterale

Il controllo degli accessi privilegiati è uno dei modi più efficaci per impedire i movimenti laterali. miniOrange PAM Riunisce i controlli critici per la prevenzione dei movimenti laterali in un'unica piattaforma gestibile:

Archiviazione delle credenziali e rotazione delle password

Le credenziali privilegiate vengono archiviate in un vault sicuro anziché essere condivise manualmente tra gli amministratori. Gli aggressori non possono carpire le password dagli endpoint se queste non sono presenti su di essi.

Anche se una credenziale viene compromessa, la rotazione automatica garantisce che diventi rapidamente non valida. Questo vanifica molte tecniche di movimento laterale.

Monitoraggio della sessione privilegiata

Ogni sessione privilegiata può essere monitorata e registrata, offrendo ai team di sicurezza una visibilità completa sui comandi eseguiti e sull'origine dell'accesso.

Grazie alla funzionalità di rilevamento delle anomalie basata sull'intelligenza artificiale di miniOrange, è possibile individuare le attività dannose in tempo reale, consentendo ai team di sicurezza di interrompere le sessioni.

Applicazione del principio del minimo privilegio just-in-time

I privilegi permanenti vengono sostituiti da autorizzazioni di accesso a tempo limitato. Gli amministratori ottengono l'accesso con privilegi elevati solo quando necessario. L'eliminazione dei privilegi di amministratore permanenti rimuove uno dei principali fattori che facilitano gli attacchi di movimento laterale.

I tentativi non autorizzati di accesso ai server o all'infrastruttura vengono bloccati prima ancora di poter essere effettuati.

Tutti questi controlli creano forti protezione dei movimenti laterali limitando l'esposizione delle credenziali e monitorando le attività privilegiate nell'intero ambiente.