Attaque
Mouvement latéral
Aussi appeléLateral movementDéplacement latéral
En résumé
L’ensemble des techniques qu’un attaquant utilise, une fois entré dans un réseau, pour passer d’une machine ou d’un compte à d’autres afin d’atteindre ses objectifs. Il réutilise des identifiants et des protocoles d’administration légitimes, ce qui le rend difficile à distinguer d’une activité normale.
Mouvement latéral, en détail
Rares sont les intrusions où le premier système compromis contient ce que l’attaquant cherche. Il progresse donc de proche en proche : il récupère des identifiants en mémoire ou dans des fichiers de configuration, puis les rejoue vers d’autres machines. Les moyens employés sont ceux de l’administration quotidienne, comme le bureau à distance (RDP), le partage de fichiers (SMB), l’exécution à distance (WinRM, tâches planifiées) ou SSH, ce qui masque l’activité parmi le trafic légitime.
La technique dite pass-the-hash réutilise l’empreinte d’un mot de passe sans connaître le mot de passe lui-même. Le pass-the-ticket fait de même avec des tickets Kerberos volés. Dans le cloud, le mouvement latéral passe par les jetons d’accès, les clés d’API et les rôles que l’on peut assumer d’un compte à un autre. Un mot de passe d’administrateur local identique sur tout le parc facilite considérablement la progression. Les mesures de réduction sont structurelles : segmentation du réseau, mots de passe d’administrateur local uniques et renouvelés (solution LAPS), tiering : définition des comptes d’administration, interdiction des protocoles d’administration entre postes de travail, et authentification multifacteur : définition. Côté détection, on surveille les connexions inhabituelles d’un compte vers de nombreuses machines.
Qu’est-ce que cela change pour vous ?
La facilité du mouvement latéral détermine si une compromission reste locale ou devient générale. C’est la propriété du réseau sur laquelle vous pouvez agir le plus, indépendamment de la capacité à détecter la première intrusion.
Exemple illustratif (fictif)
Imaginons qu’un poste de la comptabilité soit compromis. Si le mot de passe d’administrateur local est identique sur tous les postes d’une même agence, l’attaquant peut se connecter à des dizaines de machines en une soirée, jusqu’à celle d’un administrateur informatique.
La confusion fréquente
Penser que l’EDR installé sur les postes suffit à arrêter la progression. Les outils d’administration légitimes ne sont pas des logiciels malveillants, et seule une architecture qui rend ces rebonds impossibles ou visibles les contient.
Comment le détecter chez vous ?
- Pentest interne : la prestationSimuler ce qui se passe après l’ouverture de la première pièce jointe.
- Supervision & SOC : la prestationUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
Aller plus loin
- ArticleAudit Active Directory : ce qui est vérifié, et pourquoi c’est décisifPourquoi l’annuaire est la cible centrale d’un rançongiciel, les sept points qu’un audit Active Directory examine, ce qu’il livre et le périmètre couvert par le prix d’entrée.
- ArticleRançongiciel : les chemins les plus courts dans un Active DirectoryLes quelques configurations qui, dans de nombreux audits internes, mènent d’un poste utilisateur ordinaire à l’administration du domaine, et comment les fermer.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Termes liés
- DéfenseSegmentation réseau : définitionLe découpage d’un réseau en zones distinctes, dont les échanges sont limités par des règles de filtrage explicites.
- AttaqueChemin d’attaque Active Directory : définitionUne suite de relations de confiance, de droits et de configurations dans Active Directory qui permet de passer d’un compte ou d’une machine compromise à un compte administrateur du domaine.
- AttaquePersistance : définitionL’ensemble des mécanismes par lesquels un attaquant conserve son accès à un système après un redémarrage, un changement de mot de passe ou la correction du défaut initial.
- DéfenseEDR et XDR : définitionL’EDR est un agent installé sur les postes et serveurs qui enregistre l’activité des machines pour détecter des comportements malveillants et permettre de les contenir à distance.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début