Imaginez qu’un voleur pénètre dans un immeuble de bureaux. Il prie pour ouvrir une fenêtre, tombe à l’intérieur et se retrouve dans une petite pièce avec un bureau et des classeurs. L’immeuble de bureaux lui-même est vaste. La pièce dans laquelle le voleur a débarqué n’est qu’une des centaines.
Ce voleur va-t-il limiter sa recherche de pillage à la seule pièce dans laquelle il se trouve ? Bien sûr que ce n’est pas le cas. Il va parcourir autant de bâtiments que possible, à la recherche des objets les plus précieux qu’il puisse trouver sans être pris.
Les cybercriminels font la même chose. Ils utilisent les informations sur les ordinateurs compromis pour compromettre et accéder à des comptes et ordinateurs supplémentaires, une technique appelée mouvement latéral.
Qu’est-ce que le mouvement latéral du réseau ?
Les attaquants accèdent à un seul endpoint et perpétrent toutes les erreurs qu’ils peuvent y infliger. Ensuite, ils explorent, cherchant à découvrir les autres endpoints et systèmes auxquels le premier endpoint ou son utilisateur a accès.
Ils analysent l’endpoint compromis à la recherche d’informations d’identification pour les applications et autres endpoints. À l’aide de toutes les informations d’identification qu’ils trouvent, ils se déplacent furtivement d’un endpoint à l’autre, d’un appareil à l’autre.
Si leur objectif est d’implanter des logiciels malveillants tels que des rançongiciels, ils le feront probablement sur chaque endpoint qu’ils atteignent. Si leur objectif est de voler des informations, ils garderont probablement un profil bas et rechercheront des endpoints avec toutes les informations qu’ils jugent utiles. Il peut s’agir de dossiers clients, d’informations de compte bancaire ou de propriété intellectuelle.
L’étendue des dommages dans une attaque dépend de la manière dont l’attaquant peut se déplacer sur le réseau. Réduisez les mouvements latéraux, et vous aurez grandement limité les dommages qu’un attaquant peut causer.
Pour limiter les mouvements latéraux, il est utile de comprendre comment cela fonctionne.
Le mouvement latéral dépend des permissions pour les utilisateurs, les groupes et les endpoints
Supposons qu’un pirate informatique a eu accès à un endpoint, qui peut être un ordinateur personnel (PC), un Mac ou un serveur Linux. Peut-être que l’employé responsable de cet endpoint a cliqué sur un message d’hameçonnage et téléchargé par inadvertance des logiciels malveillants. Ou peut-être que l’attaquant a utilisé des combinaisons de nom d’utilisateur ou de mot de passe volées pour accéder à l’endpoint.
D’une manière ou d’une autre, l’attaquant s’est connecté et est désormais actif sur ce endpoint initial. L’endroit où l’attaquant peut aller dépend largement des permissions disponibles pour le compte qui a été compromis.
Fonctionnement du mouvement latéral du réseau
Imaginons que l’attaquant a eu accès à l’ordinateur portable de Jim et est connecté via le compte utilisateur standard de Jim. Jim a également accès au compte administrateur pour son ordinateur portable, de sorte que l’attaquant utilise le compte utilisateur de Jim pour se connecter en tant qu’administrateur.
En tant qu’administrateur, l’attaquant a le contrôle total de l’ordinateur portable de Jim. Il y a de fortes chances que le compte administrateur dispose également des permissions pour accéder à d’autres endpoints, car les organisations informatiques créent souvent des comptes administratifs qui sont partagés entre les endpoints.
Désormais, à l’aide du compte administrateur, l’attaquant peut passer de l’ordinateur portable de Jim au système de bureau de Sarah. Si Sarah est membre d’un groupe d’utilisateurs pour d’autres endpoints, l’attaquant peut se connecter en tant que Sarah et utiliser cette permission de groupe pour accéder à tous les endpoints accessibles à ce groupe.
Si un attaquant remarque que Luis est connecté à l’un de ces endpoints, il peut utiliser un logiciel malveillant pour lire les informations d’identification de connexion de Luis à partir de la mémoire de l’endpoint. L’attaquant peut alors accéder à n’importe quel endpoint auquel Luis ou à n’importe quel groupe auquel Luis appartient. Si Luis a la permission d’accéder au compte administrateur de domaine Windows , l’attaquant peut utiliser ce compte pour accéder à tous les ordinateurs Windows de l’entreprise.
Compte par compte, endpoint par endpoint, les attaquants se déplacent sur le réseau de cette manière furtive. Ils peuvent se déplacer lentement sur plusieurs heures ou jours pour éviter d’attirer l’attention sur leur travail. Ou ils pourraient se déplacer plus rapidement, en espérant traverser le réseau le plus loin possible avant que l’organisation informatique ne détecte leur activité et ne prenne des mesures pour les arrêter.
Meilleures pratiques pour prévenir les mouvements latéraux
Étant donné que les attaquants dépendent des permissions des utilisateurs et des groupes pour se déplacer sur les réseaux, l’une des meilleures pratiques consiste à limiter les permissions des utilisateurs et des groupes.
Il est important de comprendre quelles permissions d’utilisateur et de groupe ont déjà été établies. De nombreuses organisations informatiques pensent savoir comment les permissions d’utilisateur et de groupe ont été configurées, mais les audits des permissions réelles révèlent souvent des surprises.
Par exemple, dans une entreprise, la configuration des permissions par défaut a accidentellement donné à chaque utilisateur l’accès à un compte administrateur. Par conséquent, chaque utilisateur contrôlait tous les endpoints de l’entreprise.
Alors, vérifiez. Vérifiez vos permissions d’utilisateur et de groupe afin de comprendre vraiment quels risques existent dans les paramètres de permissions de votre organisation.
Limitation des permissions d’utilisateur et de groupe
Ensuite, limitez les permissions d’utilisateur et de groupe autant que possible. Donnez aux utilisateurs uniquement les permissions dont ils ont besoin pour faire leur travail. Limiter l’accès à d’autres utilisateurs, groupes et endpoints rend beaucoup plus difficile pour les attaquants de passer d’un compte à l’autre, même s’ils parviennent à prendre le contrôle d’un endpoint.
Repensez à notre exemple de voleur pénétrant dans un bâtiment. Si le voleur trouvait que la plupart des portes intérieures étaient verrouillées et que les ascenseurs et les cages d’escalier nécessitaient des codes d’accès, les pertes dues à l’effraction seraient minimisées.
La restriction des permissions d’utilisateur et de groupe fonctionne de la même manière. Après avoir pris le contrôle d’un endpoint, un attaquant peut penser qu’il a touché le jackpot, mais une fois qu’il aura découvert des permissions restreintes, il se rendra rapidement compte qu’il a frappé un mur.
Le mouvement latéral est une technique essentielle pour les cybercriminels. En surveillant et en limitant les permissions pour les utilisateurs, les groupes et les endpoints, vous pouvez rendre cette technique beaucoup moins efficace.
Découvrez comment Tanium peut aider votre organisation à se défendre contre les mouvements latéraux dans notre article précédent, 5 Comment Tanium Impact aide les entreprises à se protéger contre les mouvements latéraux dans les cyberattaques.
