Obiectivul este de a se apropia de date sau ținte operaționale valoroase, de a extinde raza de acțiune sau de a stabili căi alternative. Mișcarea poate traversa endpointuri, servere, sisteme de identitate, resurse cloud, segmente de rețea sau granițe dintre tehnologia informației și tehnologia operațională.
Adversarii pot reutiliza credențiale, tokenuri, share-uri administrative, servicii remote, platforme de administrare, relații de încredere sau vulnerabilități. Activitatea poate semăna cu administrarea legitimă, mai ales când sunt folosite conturi valide și instrumente native. Investigarea are prin urmare nevoie de dovezi de identitate, endpoint, rețea, plan de control cloud și administrative legate între ele în timp.
Puncte esențiale
Facilitatori obișnuițiPrivilegiile excesive, reutilizarea credențialelor, accesibilitatea largă, căile de încredere negestionate, serviciile remote expuse și separarea slabă între nivelurile administrative pot ușura mișcarea.
Tipare observabileSesiuni remote noi, combinații neobișnuite cont-gazdă, exploatarea serviciilor interne, accesul la credențiale urmat de utilizare remote și instrumente care apar pe mai multe sisteme pot justifica corelarea.
Priorități defensiveAplicați privilegiul minim și segmentarea, protejați credențialele privilegiate, restricționați și monitorizați administrarea remote, centralizați jurnalele relevante și pregătiți acțiuni de izolare care păstrează dovezile și serviciile esențiale.
Limitare importantăO autentificare remote sau o conexiune est-vest nu este o dovadă de mișcare laterală. Pe de altă parte, segmentarea poate constrânge căile, dar nu poate opri mișcarea prin servicii permise, identități compromise, planuri de control partajate sau dependențe trecute cu vederea.