Cílem je přiblížit se k hodnotným datům či operačním cílům, rozšířit dosah nebo navázat alternativní cesty. Pohyb může překračovat koncová zařízení, servery, systémy identit, cloudové prostředky, síťové segmenty nebo hranice mezi informačními a provozními technologiemi.
Protivníci mohou znovu používat přihlašovací údaje, tokeny, administrativní sdílení, vzdálené služby, správní platformy, vztahy důvěry nebo zranitelnosti. Aktivita může připomínat legitimní správu, zejména když jsou použity platné účty a nativní nástroje. Vyšetřování proto potřebuje propojené důkazy z identit, koncových zařízení, sítě, cloudové řídicí roviny a administrativních zdrojů v čase.
Klíčové body
Běžné umožňující faktoryNadměrná oprávnění, znovupoužití přihlašovacích údajů, široká dosažitelnost, nespravované cesty důvěry, exponované vzdálené služby a slabé oddělení administrativních vrstev mohou pohyb usnadnit.
Pozorovatelné vzoryNové vzdálené relace, neobvyklé kombinace účet–hostitel, zneužití interních služeb, přístup k přihlašovacím údajům následovaný vzdáleným použitím a nástroje objevující se napříč systémy mohou opravňovat korelaci.
Obranné priorityVymáhejte princip nejmenších oprávnění a segmentaci, chraňte privilegované přihlašovací údaje, omezte a monitorujte vzdálenou správu, centralizujte relevantní logy a připravte akce zadržení, které zachovají důkazy a základní služby.
Důležité omezeníVzdálené přihlášení nebo spojení východ–západ není důkazem laterálního pohybu. Naopak segmentace může cesty omezit, ale nemůže zastavit pohyb přes povolené služby, kompromitované identity, sdílené řídicí roviny nebo přehlédnuté závislosti.