Латеральное перемещение (Lateral Movement)

Злоумышленник получил доступ к одному рабочему компьютеру, но нужные ему данные находятся на другом сервере. Он пытается использовать первый компьютер как отправную точку для доступа к следующим системам. Эти переходы и называют латеральным перемещением.

Это действия атакующего, а не этап работы команды реагирования. Расследование восстанавливает такие переходы, а защитные меры ограничивают возможность продолжить их.

При анализе инцидента специалисты проверяют, откуда возникло подключение к следующей системе, какая учётная запись использована и что произошло после входа. Полезны журналы аутентификации, сетевые соединения и события процессов на конечных точках.

Необычный вход по RDP или SSH сам по себе не доказывает атаку: эти протоколы используют администраторы. Подозрение усиливает сочетание признаков — нетипичный источник, доступ к ранее не посещавшимся серверам, несвойственное время и действия после входа. События сопоставляют с разрешёнными работами.

Для сдерживания ограничивают межсегментные соединения, отделяют административные учётные записи, защищают их секреты и закрывают ненужные удалённые службы. Команда реагирования сохраняет артефакты, определяет затронутые системы и согласует изоляцию; это меры против перемещения, а не его определение.

После компрометации рабочего компьютера противник получает учётные данные администратора. Затем с этого компьютера возникает необычный удалённый вход на файловый сервер. После входа на сервере появляется запуск процесса, не связанный с согласованной работой администратора.

Аналитик проверяет последовательность «исходный компьютер → учётная запись → удалённый вход → действие на сервере». Если версия атаки подтверждается, ограничивают дальнейшие соединения и доступ скомпрометированной учётной записи. Один вход без контекста не достаточен для вывода о латеральном перемещении.

• Первоначальный доступПервоначальный доступ — первое проникновение в среду, например через фишинг или внешний сервис. Латеральное перемещение начинается из уже доступной противнику позиции и направлено к другим системам.
• Повышение привилегийПовышение привилегий увеличивает полномочия. Латеральное перемещение меняет доступную систему или среду. Переход на другой сервер возможен и без новых прав, если имеющиеся учётные данные там принимаются.
• Закрепление в системеЗакрепление помогает сохранить доступ при перезапуске или смене сеанса. Латеральное перемещение расширяет доступ на другие системы. Обе тактики могут присутствовать в одном инциденте, но решают разные задачи противника.

1. Исходная позицияПротивник уже контролирует устройство или учётную запись. Это отправная точка для доступа к другим системам, а не обязательно место хранения конечной цели.
2. Возможность переходаДоступные сетевые соединения, полномочия и состояние служб создают путь к следующей системе. Секреты учётных записей или уязвимость могут расширить такую возможность.
3. Доступ к другой системеПротивник использует доступный механизм входа или взаимодействия со службой. Для защиты важно отличить эту активность от разрешённого администрирования по контексту событий.
4. Расширение присутствияПосле перехода противник может обращаться к новым ресурсам и продолжать движение. Каждый подтверждённый переход меняет оценку масштаба компрометации и границы сдерживания.

• Курсы для аналитиков SOCКурс
• Решения класса EDRРешения
• Инструменты Blue Team: от SIEM до EDRСтатья

• SIEM
• EDR
• Kerberos