Imaginez qu'un voleur s'introduise dans un immeuble de bureaux. Il entrouvre une fenêtre, se précipite à l'intérieur et se retrouve dans une petite pièce où se trouvent un bureau et des armoires à dossiers. L'immeuble de bureaux lui-même est immense. La pièce dans laquelle le voleur s'est retrouvé n'est qu'une parmi des centaines d'autres.
Ce voleur va-t-il limiter sa recherche de butin à la seule pièce dans laquelle il se trouve actuellement ? Bien sûr que non. Il va fouiner partout dans le bâtiment autant qu'il le pourra, à la recherche des objets les plus précieux qu'il pourra trouver sans se faire prendre.
Les cybercriminels font exactement la même chose. Ils utilisent les informations présentes sur les ordinateurs compromis pour compromettre et accéder à d'autres comptes et ordinateurs, une technique connue sous le nom de « mouvement latéral » ( ) (s'ouvre dans un nouvel onglet).
Qu'est-ce que la « circulation latérale sur le réseau » ?
Les pirates parviennent à accéder à un seul terminal et y commettent toutes les actions malveillantes possibles. Ils partent ensuite en exploration, cherchant à découvrir à quels autres terminaux et systèmes ce premier terminal ou son utilisateur a accès.
Ils analysent le terminal compromis à la recherche d'identifiants permettant d'accéder à des applications et à d'autres terminaux. À l'aide des identifiants qu'ils parviennent à trouver, ils se déplacent discrètement d'un terminal à l'autre, d'un appareil à l'autre.
Si leur objectif est d'implanter des logiciels malveillants, tels que des ransomwares, ils le feront probablement sur chaque terminal auquel ils auront accès. Si leur objectif est de voler des informations, ils feront probablement profil bas et rechercheront des terminaux contenant toute information qu’ils jugent précieuse. Ces informations peuvent concerner les dossiers clients, les coordonnées bancaires ou la propriété intellectuelle.
L'ampleur des dégâts causés par une attaque dépend de la liberté de mouvement dont dispose l'attaquant au sein du réseau. En limitant les déplacements latéraux, vous réduirez considérablement les dégâts qu'un attaquant peut causer.
Pour limiter les mouvements latéraux, il est utile de comprendre comment cela fonctionne.
Les déplacements latéraux dépendent des autorisations accordées aux utilisateurs, aux groupes et aux terminaux
Supposons qu'un pirate ait réussi à accéder à un terminal, qu'il s'agisse d'un ordinateur personnel (PC), d'un Mac ou d'un serveur Linux. Il se peut que l'employé en charge de ce terminal ait cliqué sur un message de hameçonnage et ait téléchargé par inadvertance un logiciel malveillant. Ou peut-être que le pirate a utilisé des combinaisons de nom d'utilisateur et de mot de passe volées pour accéder au terminal.
D'une manière ou d'une autre, l'attaquant s'est connecté et est désormais actif sur ce terminal initial. Les possibilités dont dispose l'attaquant à partir de là dépendent en grande partie des droits dont bénéficie le compte qui a été piraté.
Comment fonctionne le déplacement latéral sur le réseau ?
Imaginons que le pirate ait réussi à accéder à l'ordinateur portable de Jim et qu'il soit connecté via le compte utilisateur standard de Jim. Jim dispose également d'un accès au compte administrateur de son ordinateur portable ; l'attaquant utilise donc le compte utilisateur de Jim pour se connecter en tant qu'administrateur.
En tant qu'administrateur, le pirate dispose d'un contrôle total sur l'ordinateur portable de Jim. Il y a de fortes chances que le compte administrateur dispose également de droits d'accès à d'autres terminaux, car les services informatiques créent souvent des comptes administrateurs communs à plusieurs terminaux.
Désormais, grâce au compte administrateur, le pirate peut passer de l'ordinateur portable de Jim à l'ordinateur de bureau de Sarah. Si Sarah fait partie d'un groupe d'utilisateurs ayant accès à d'autres terminaux, le pirate peut se connecter en se faisant passer pour Sarah et utiliser les autorisations de ce groupe pour accéder à tous les terminaux auxquels ce groupe a accès.
Si un pirate constate que Luis est connecté sur l'un de ces terminaux, il pourrait utiliser un logiciel malveillant pour extraire les identifiants de connexion de Luis de la mémoire du terminal. L'attaquant peut alors accéder à n'importe quel terminal auquel Luis ou tout groupe dont il fait partie a accès. Si Luis dispose d'un droit d'accès au compte administrateur du domaine Windows de l' , (s'ouvre dans un nouvel onglet) , l'attaquant peut utiliser ce compte pour accéder à tous les ordinateurs Windows de l'entreprise.
Compte après compte, terminal après terminal, les pirates se déplacent ainsi de manière furtive à travers le réseau. Ils peuvent agir lentement, sur plusieurs heures ou plusieurs jours, afin de ne pas attirer l'attention sur leur travail. Ou bien ils pourraient agir plus rapidement, dans l'espoir de parcourir le réseau aussi loin que possible avant que le service informatique ne détecte leur activité et ne prenne des mesures pour les en empêcher.
Bonnes pratiques pour prévenir les mouvements latéraux
Étant donné que les pirates s'appuient sur les droits d'accès des utilisateurs et des groupes pour se déplacer au sein des réseaux, l'une des meilleures pratiques consiste à limiter ces droits.
Il est important de savoir quelles autorisations ont déjà été définies pour les utilisateurs et les groupes. De nombreux services informatiques pensent savoir comment les autorisations des utilisateurs et des groupes ont été configurées, mais les audits portant sur ces autorisations révèlent souvent des surprises.
Par exemple, dans une entreprise, la configuration par défaut des autorisations a accidentellement permis à tous les utilisateurs d'accéder à un compte administrateur. Par conséquent, chaque utilisateur contrôlait l'ensemble des terminaux de l'entreprise.
Alors, vérifiez bien. Vérifiez les autorisations de vos utilisateurs et groupes afin de bien cerner les risques liés aux paramètres d'autorisation de votre organisation.
Limitation des droits d'accès des utilisateurs et des groupes
Ensuite, limitez autant que possible les droits d'accès des utilisateurs et des groupes. Accordez aux utilisateurs uniquement les autorisations dont ils ont besoin pour faire leur travail. En limitant l'accès aux autres utilisateurs, groupes et terminaux, il est beaucoup plus difficile pour les attaquants de passer d'un compte à l'autre, même s'ils parviennent à prendre le contrôle d'un terminal.
Repensez à notre exemple du voleur qui s'introduit dans un immeuble. Si le cambrioleur constatait que la plupart des portes intérieures étaient verrouillées et que l'accès aux ascenseurs et aux cages d'escalier nécessitait un code d'accès, les pertes liées à cette effraction seraient réduites au minimum.
La restriction des autorisations des utilisateurs et des groupes fonctionne de la même manière. Après avoir pris le contrôle d'un terminal, un pirate pourrait croire qu'il a touché le jackpot, mais dès qu'il se rendra compte que ses droits d'accès sont limités, il comprendra rapidement qu'il se heurte à un mur.
Le déplacement latéral est une technique essentielle pour les cybercriminels. En surveillant et en limitant les autorisations accordées aux utilisateurs, aux groupes et aux terminaux, vous pouvez réduire considérablement l'efficacité de cette technique.
Pour en savoir plus sur la manière dont Tanium peut aider votre organisation à se prémunir contre les mouvements latéraux, consultez nos articles précédents : « 5 façons dont Tanium Impact aide les entreprises à se prémunir contre les mouvements latéraux lors de cyberattaques » (s'ouvre dans un nouvel onglet).
