Celem jest zbliżenie się do wartościowych danych lub celów operacyjnych, rozszerzenie zasięgu albo ustanowienie alternatywnych ścieżek. Ruch może przechodzić przez punkty końcowe, serwery, systemy tożsamości, zasoby chmurowe, segmenty sieci lub granice technologii informatycznej i operacyjnej.
Przeciwnicy mogą ponownie używać poświadczeń, tokenów, udziałów administracyjnych, usług zdalnych, platform zarządczych, relacji zaufania lub podatności. Aktywność może przypominać legalną administrację, zwłaszcza gdy używane są prawidłowe konta i natywne narzędzia. Dochodzenie wymaga więc powiązania w czasie dowodów tożsamości, punktów końcowych, sieci, płaszczyzny sterowania chmury i administracji.
Najważniejsze punkty
Typowe czynniki ułatwiająceNadmierne uprawnienia, ponowne użycie poświadczeń, szeroka osiągalność, niezarządzane ścieżki zaufania, eksponowane usługi zdalne i słaby rozdział warstw administracyjnych mogą ułatwiać ruch.
Obserwowalne wzorceNowe sesje zdalne, nietypowe kombinacje konto–host, eksploatacja usług wewnętrznych, dostęp do poświadczeń z następującym użyciem zdalnym oraz narzędzia pojawiające się na kilku systemach mogą uzasadniać korelację.
Priorytety obronneEgzekwuj minimalne uprawnienia i segmentację, chroń poświadczenia uprzywilejowane, ograniczaj i monitoruj zdalną administrację, centralizuj istotne logi i przygotuj działania ograniczające zachowujące dowody i kluczowe usługi.
Istotne ograniczenieZdalne logowanie lub połączenie wschód–zachód nie jest dowodem ruchu bocznego. I odwrotnie — segmentacja może ograniczać ścieżki, ale nie zatrzyma ruchu przez dozwolone usługi, skompromitowane tożsamości, współdzielone płaszczyzny sterowania czy przeoczone zależności.