Lateral movement – jak atakujący poruszają się po sieci po pierwszym włamaniu?

Po wykryciu przejętej stacji można odciąć ją od sieci, usunąć złośliwy plik i zresetować hasło użytkownika. To nie daje jeszcze odpowiedzi na pytanie, czy incydent został zatrzymany. Zanim pojawił się alert, to samo konto mogło zostać użyte na serwerze, a narzędzia skopiowane na inne hosty. Adres IP pierwszego komputera nie wyznacza granic incydentu.

Jeżeli dostęp do jednego systemu służy do wejścia na kolejne, mamy do czynienia z lateral movement. Dla osoby prowadzącej atak przejęty laptop może być tylko przystankiem na drodze do kontrolera domeny, systemu kopii zapasowych, poczty albo danych przechowywanych w chmurze. Dla zespołu bezpieczeństwa oznacza to konieczność sprawdzenia nie tylko tego, co wydarzyło się na pierwszym urządzeniu, lecz także tego, dokąd prowadziły znajdujące się na nim konta, sesje i połączenia.

Lateral movement – co to właściwie oznacza?

MITRE ATT&CK opisuje lateral movement jako zbiór technik używanych do uzyskiwania dostępu do zdalnych systemów i przejmowania nad nimi kontroli. W polskich materiałach można spotkać określenia „ruch lateralny”, „ruch boczny” oraz „poruszanie się lateralne”. Wszystkie odnoszą się do przemieszczania się pomiędzy kolejnymi elementami środowiska po uzyskaniu pierwszego dostępu.

Trzeba odróżnić ruch lateralny od rozpoznania sieci, sprawdzenie dostępnych hostów, udziałów, kont i aktywnych sesji pomaga znaleźć drogę, ale samo w sobie nie oznacza jeszcze wejścia na inny system. O lateral movement mówimy wtedy, gdy uzyskany dostęp zostaje wykorzystany do zalogowania się, uruchomienia kodu albo przejęcia sesji na kolejnym urządzeniu lub w kolejnej usłudze.

Pierwszym punktem nie musi być komputer z malware. Równie dobrze może nim być konto VPN, publicznie dostępny serwer, sesja w usłudze chmurowej albo konto zdalnego serwisu. Dalszy przebieg zależy od tego, jakie uprawnienia udało się uzyskać i które systemy są osiągalne z danego miejsca.

Zwykłe narzędzia, niewłaściwy użytkownik

Techniki ruchu lateralnego w sieci często opierają się na rozwiązaniach używanych każdego dnia przez administratorów. RDP udostępnia pulpit zdalny, SSH pozwala zarządzać serwerami, SMB obsługuje udziały sieciowe, a WinRM umożliwia zdalne wykonywanie zadań w środowisku Windows. Żaden z tych protokołów nie jest z natury złośliwy.

Znaczenie ma to, kto z niego korzysta, z jakiego urządzenia i do jakiego celu. Sesja RDP uruchomiona przez administratora ze stacji zarządzającej może być elementem normalnej pracy. Identyczne połączenie wykonane z laptopa pracownika do serwera, którym ta osoba nigdy nie zarządzała, wygląda już zupełnie inaczej.

Jedną z metod poruszania się po sieci po włamaniu jest użycie poprawnych danych logowania. Jeżeli konto działa na wielu urządzeniach, przejęte hasło może otworzyć dostęp do każdego systemu, na którym użytkownik ma odpowiednie uprawnienia. Podobny problem tworzy używanie tego samego hasła administratora lokalnego na wielu komputerach.

Hasło nie jest jedyną możliwością. Do uwierzytelnienia mogą posłużyć przejęte skróty haseł, tokeny aplikacyjne lub istniejące sesje. Techniki te MITRE ATT&CK grupuje m.in. jako wykorzystanie alternatywnych materiałów uwierzytelniających. W takim przypadku zmiana samego hasła nie zawsze unieważni dostęp, który został już potwierdzony tokenem albo aktywną sesją.

Inną drogą jest wykorzystanie podatności w usłudze dostępnej z wewnętrznej sieci. Serwer, którego nie da się zaatakować bezpośrednio z Internetu, może być osiągalny z przejętej stacji. Do przemieszczania się mogą zostać użyte także systemy dystrybucji oprogramowania i zdalnego wsparcia. Mają dostęp do wielu urządzeń, ponieważ tego wymaga ich prawidłowe działanie. Przejęcie takiego narzędzia zmienia jego administracyjne możliwości w wygodny kanał dotarcia do kolejnych hostów.

MITRE opisuje również lateral tool transfer, czyli przenoszenie narzędzi i plików pomiędzy systemami znajdującymi się już w przejętym środowisku. Plik może trafić na kolejny komputer przez udział sieciowy, sesję zdalną albo usługę synchronizacji. Sam transfer nie wyjaśnia jeszcze, co się wydarzyło. Nabiera znaczenia, gdy po skopiowaniu pliku pojawia się jego zdalne uruchomienie.

Co otwiera drogę do kolejnych systemów?

Płaska sieć ułatwia komunikację, ale nie jest jedynym źródłem problemu. Do wykonania ruchu lateralnego potrzebna jest jeszcze możliwość uwierzytelnienia albo wykorzystania dostępnej usługi. Z tego powodu ocenę trzeba prowadzić jednocześnie po stronie sieci, urządzeń i tożsamości.

Szerokie reguły zapory sprawiają, że stacja użytkownika widzi usługi administracyjne na serwerach. Nadmiarowe uprawnienia pozwalają zwykłemu kontu logować się tam, gdzie nie jest ono potrzebne. Wspólne konta utrudniają ustalenie, kto rzeczywiście wykonał daną operację. Identyczne hasła lokalnych administratorów powodują natomiast, że poświadczenie zdobyte na jednym komputerze może zadziałać na kolejnych.

Ryzyko tworzą także uprzywilejowane sesje pozostawione na słabiej chronionych stacjach. Administrator, który używa tego samego komputera do poczty, przeglądania Internetu i zarządzania serwerami, łączy dwa obszary o zupełnie innym poziomie ryzyka.

Ruch lateralny nie kończy się na sieci lokalnej. Tożsamości synchronizowane lub federowane z usługami chmurowymi mogą zapewniać dostęp do aplikacji SaaS, maszyn wirtualnych i paneli administracyjnych. Jeżeli polityka dostępu na to pozwala, przejęte konto może zostać użyte po obu stronach środowiska hybrydowego.

Jak zobaczyć ruch, który przypomina pracę administratora?

Firewall rejestruje połączenie. System operacyjny zapisuje logowanie. EDR widzi uruchomiony proces. Każde z tych źródeł ma tylko fragment informacji. Przebieg zdarzenia staje się czytelny dopiero po ich połączeniu.

Samo logowanie RDP nie wystarczy, aby zgłosić incydent. Ważne jest, czy konto korzystało wcześniej z danego serwera, czy komputer źródłowy jest przeznaczony do administracji oraz co wydarzyło się po nawiązaniu sesji. Podobnie wygląda analiza SMB: dostęp do firmowego udziału jest zwyczajną operacją, ale połączenie ze stacji użytkownika do udziału administracyjnego, przesłanie pliku i jego zdalne uruchomienie tworzą już konkretny ciąg zdarzeń.

Przydatne są informacje o logowaniach, procesach, połączeniach sieciowych, dostępie do udziałów, zmianach usług i zadań oraz aktywności w systemach tożsamości. Szczególnej uwagi wymagają połączenia z nietypowych źródeł, konta pojawiające się na wielu urządzeniach oraz stacje użytkowników inicjujące ruch administracyjny do serwerów.

Nie każdy taki sygnał oznacza atak. Zespół powinien znać normalny sposób pracy administratorów, narzędzi wdrożeniowych i usług automatycznych. Bez tego trudno odróżnić incydent od zaplanowanej operacji technicznej.

Jak zamknąć drogi wykorzystywane do lateral movement?

Najpierw trzeba wiedzieć, które połączenia są rzeczywiście potrzebne. Stacje użytkowników nie powinny mieć swobodnego dostępu do usług administracyjnych na serwerach, urządzeniach sieciowych, platformach wirtualizacyjnych i systemach kopii zapasowych. Taki ruch można prowadzić przez wydzielone stacje lub serwery pośredniczące, z jasno określonych segmentów i przy użyciu osobnych kont.

Segmentacja działa tylko wtedy, gdy pomiędzy strefami obowiązują realne ograniczenia. Samo utworzenie VLAN-ów niczego nie zmieni, jeśli routing i reguły zapory nadal pozwalają na dowolną komunikację.

Po stronie tożsamości potrzebne są oddzielne konta zwykłe i administracyjne, możliwie małe uprawnienia oraz unikalne hasła administratorów lokalnych. MFA należy stosować przy dostępie zdalnym i uprzywilejowanym, pamiętając, że nie chroni ono automatycznie przed wykorzystaniem skradzionej sesji lub tokenu.

Usługi zdalne, które nie są potrzebne, powinny zostać wyłączone. Pozostałe trzeba ograniczyć do konkretnych źródeł i kont. Systemy zarządzające, katalog tożsamości, platformy wirtualizacyjne oraz kopie zapasowe wymagają osobnego traktowania, ponieważ dostęp do nich może rozszerzyć zasięg incydentu albo utrudnić odtworzenie środowiska.

Ostatni element to widoczność. Logi z urządzeń, systemów tożsamości, VPN, usług chmurowych i narzędzi ochronnych powinny trafiać do miejsca, w którym można zestawić je na jednej osi czasu. EDR zainstalowany wyłącznie na laptopach nie pokaże, co stało się później na serwerze pozbawionym monitorowania.

Pierwszy host nie wyznacza końca analizy

Po potwierdzeniu lateral movement trzeba ustalić pełny zakres incydentu: wykorzystane konta, aktywne sesje, systemy docelowe, przesłane pliki i wykonane zdalnie działania. Izolacja pierwszej stacji pozostaje potrzebna, ale nie zastępuje sprawdzenia pozostałych urządzeń. Hasła, tokeny i sesje należy unieważniać w sposób skoordynowany. Trzeba również zabezpieczyć logi i inne ślady pozwalające odtworzyć kolejność zdarzeń. Zamknięcie pojedynczego alertu nie może przesądzać o zamknięciu całego incydentu.