La faille a commencé silencieusement, et le mouvement latéral était facile à rater.
Lorsque le trafic suspect a vacillé à l’intérieur de MITRE Corp., une organisation fédérale de recherche à but non lucratif, les enquêteurs se sont inquiétés. En creusant plus profondément, ils ont découvert qu’un pirate informatique national avait glissé au-delà du périmètre du réseau et se déplaçait facilement « est-ouest », c’est-à-dire latéralement sur l’infrastructure. Les informations d’identification administratives compromises ont donné à l’intrus la licence d’itinérance, non vérifiée et presque invisible.
MITRE a contenu l’intrusion et divulgué ce qu’elle savait. Mais cet incident 2024 a souligné comment la lutte contre la cybercriminalité commence souvent non pas au périmètre d’un réseau informatique, où les pare-feux et d’autres outils de sécurité traditionnels ont longtemps eu du mal à repousser les attaques, mais après que des pirates informatiques soient déjà à l’intérieur.
Quelques semaines plus tard, la cyberattaque de Change Healthcare a conduit ce point à la maison. Les pirates informatiques ont obtenu un accès à distance à un serveur qui n’avait pas d’ authentification multifacteur (AMF). Une fois à l’intérieur, ils se sont déplacés latéralement sur le réseau pendant neuf jours, causant des mois de perturbations dans les paiements et les soins aux patients. Au moins 192,7 millions de personnes ont été affectées par la violation.
C’est l’inquiétude liée au trafic « est-ouest » ou latéral, qui est désormais impliqué dans la majorité de toutes les violations réussies, ce qui en a fait un thème clé lors de la conférence RSA de cette année. Si une organisation a passé la majeure partie de son temps à renforcer le trafic « nord-sud », ou les données entrant et sortant des réseaux, mais n’a pas appliqué la même rigueur en interne, elle se laisse dangereusement exposée.
Les pirates informatiques peuvent infliger de graves dommages en peu de temps. Et ils deviennent plus rapides une fois qu’ils ont pénétré les réseaux, exécutant un mouvement latéral en seulement 27 minutes, ou 48 minutes en moyenne, selon le rapport annuel sur les menaces 2025 de ReliaQuest.
« Le temps est l’ennemi de la cybersécurité », a déclaré Michael McPherson, vice-président principal des opérations techniques de ReliaQuest, dans une déclaration. « Les pirates informatiques évoluent plus rapidement que jamais, ce qui signifie que nos défenses doivent également accélérer. »
Pourquoi le mouvement latéral reste une menace majeure
Le mouvement latéral est un processus en plusieurs étapes impliquant la reconnaissance, le vol d’informations d’identification et l’exploitation.
« Les attaquants évoluent plus rapidement que jamais, ce qui signifie que nos défenses doivent également accélérer. »Michael McPherson, vice-président senior des opérations techniques, ReliaQuest
Les cybercriminels violent un réseau à l’aide de techniques telles que l’ hameçonnage, l’exploitation de vulnérabilités connues ou l’exploitation d’informations d’identification volées. Ils examinent ensuite la structure du réseau, mappent les appareils et identifient les cibles souhaitées, telles que les contrôleurs de domaine, qui authentifient les utilisateurs et appliquent des permissions ou des serveurs de base de données. Enfin, ils se mettent au travail en saisissant ou en corrompant des données, en volant des informations d’identification pour de futures activités illicites, ou en plantant des enregistreurs de frappe et d’autres programmes de surveillance pour surveiller les communications privées.
Ce qui rend cela si dommageable, c’est la manière dont il transforme une seule violation en compromission à l’échelle du réseau, permettant aux attaquants d’atteindre des systèmes et des données plus précieux tout en se cachant à la vue de tous avec des informations d’identification volées. Plus ils restent indétectés, plus ils ont le temps d’ atteindre les joyaux de la couronne, de planter des portes dérobées et de lancer des rançongiciels, de l’espionnage et d’autres campagnes plus larges.
3 moyens clés d’empêcher les mouvements latéraux
Ce qui est particulièrement insidieux dans cette forme d’attaque, c’est sa nature subtile et presque silencieuse. En tirant parti des mouvements latéraux, les attaquants peuvent se fondre de manière transparente avec d’autres trafics réseau légitimes, comme un bandit dissimulé parmi les piétons dans une rue bondée. Toute contre-mesure, si elle doit être efficace, doit reconnaître les signes révélateurs de ces mouvements et bloquer les voies potentielles qui rendent un réseau vulnérable.
Pour contrecarrer ce type d’activité furtive, de nombreuses entreprises adoptent l’ancienne notion de défense en profondeur, combinant des approches de sécurité modernes, telles que la Zero Trust, avec des contrôles d’infrastructure, la microsegmentation et des capacités de détection et de réponse réseau (NDR).
1. Confiance zéro, aucune hypothèse
Étant donné que l’essentiel du problème implique que les pirates informatiques se déplacent d’un emplacement à l’autre sans avoir été arrêtés numériquement en cours de route, Zero Trust offre une solution pratique. Un terme inventé par l’ancien analyste principal de Forrester, John Kindervag, qui est désormais évangéliste en chef chez Illumio, Zero Trust a cherché à inverser une perception erronée vieille de plusieurs décennies selon laquelle il existe des côtés fiables et non fiables à un réseau.
« Traditionnellement, une fois authentifié pour accéder à un réseau, vous pouviez aller où vous le vouliez... C’est stupide. Le Zero Trust élimine cela. »John Kindervag, évangéliste en chef, Illumio
« Traditionnellement, une fois que vous avez été authentifié pour vous connecter à un réseau, vous pouvez aller où vous le souhaitez », dit-il à Focal Point. « Mais chaque paquet doit être associé à une politique. Vous devez déterminer où il va explicitement au lieu de dire : « Eh bien, une fois que vous êtes du côté de confiance, vous pouvez aller n’importe où. » C’est stupide. Le Zero Trust élimine cette hypothèse de confiance. »
La confiance zéro adopte une approche axée sur les politiques enracinée dans l’ancien concept du « besoin de savoir ». Chaque demande d’accès à un domaine, d’utilisation d’une application ou d’ouverture d’un fichier est examinée, et s’il n’y a pas de raison légitime basée sur le rôle, elle est refusée. Ce modèle sans confiance est de plus en plus populaire auprès des chefs d’entreprise et de sécurité, car les menaces réseau posées par la désinformation augmentent, et les contrefaçons profondes et d’autres outils alimentés par l’IA facilitent plus que jamais l’usurpation d’identité des employés. Selon une enquête Zscaler, plus de 80 % des organisations prévoient d’adopter le Zero Trust d’ici 2026.
2. Microsegmentation ciblée
La microsegmentation est une autre solution courante que les organisations appliquent au problème de trafic est-ouest. Prenant en charge le Zero Trust, il divise les réseaux en zones plus petites afin que les intrus ne puissent pas se déplacer librement une fois qu’ils sont à l’intérieur. À l’inverse, la segmentation traditionnelle divise les réseaux en zones plus larges, en utilisant des appareils tels que des pare-feux et des VLAN. En tant que tel, elle n’atteint pas la granularité nécessaire pour appliquer les politiques Zero Trust.
« La microsegmentation, si elle est effectuée correctement, peut être la base d’une très bonne sécurité », déclare Chase Cunningham, Ph.D., directrice de la stratégie chez Demo Force et largement connue sous le nom de Dr ZeroTrust. « Même en cas de violation, on les empêche d’aller plus loin et de les rendre plus catastrophiques. La microsegmentation contribue essentiellement à éliminer les méga-violations. »
Selon M. Cunningham, la microsegmentation est particulièrement précieuse dans les technologies opérationnelles (OT) et l’Internet des objets (IoT), des secteurs lourds, comme les soins de santé ou le pétrole et le gaz, où les systèmes prennent en charge des cas d’utilisation clairs et spécifiques. Il permet de séparer logiquement les appareils, par exemple, un automate ne peut parler qu’à la machine pour laquelle il a été conçu.
Cela gagne également du terrain en ce moment, car les outils qui le permettent ont finalement mûri, dit-il.
« La microsegmentation en tant que domaine technologique sur le marché n’était pas vraiment disponible avant peut-être il y a trois ans », déclare Cunningham. « Maintenant, si j’étais directeur de la sécurité dans une entreprise, je microsegmenterais l’enfer de tout et travaillerais ensuite sur d’autres problèmes. »
Cependant, le travail n’est pas facile. Selon M. Cunningham, les entreprises trébuchent souvent lorsqu’elles en affrontent trop à la fois.
« La complexité survient lorsque les gens disent : « Cool, nous allons faire une microsegmentation », dit-il. « Ensuite, ils vont, « Eh bien, microsegmentez quoi ? » Il doit s’agir d’un projet et d’un plan. Vous ne pouvez pas simplement activer le bouton et dire microsegment. Quelque chose va mal se passer. »
3. NDR : vos yeux à l’intérieur
Même lorsque la segmentation est effectuée correctement, les intrus peuvent toujours trouver des moyens de fonctionner latéralement. C’est pourquoi de nombreuses organisations se tournent vers les outils NDR. Bien que la confiance zéro et la microsegmentation définissent les règles d’engagement, ces solutions agissent comme une tour de surveillance. Ils n’appliquent pas la segmentation. Mais ils surveillent le trafic à travers et à l’intérieur des zones, en utilisant l’analyse et l’IA pour signaler les mouvements est-ouest suspects qui passeraient autrement outre les pare-feux et les outils d’endpoint.
« Les intrus n’abattent pas la porte d’entrée. Ils utilisent vos couloirs, vos portes, vos cages d’escalier et... ils semblent y appartenir. »Chase Cunningham, Ph.D., directeur de la stratégie chez Demo Force
Cette visibilité est essentielle, explique Cunningham, car les intrus ressemblent souvent à des utilisateurs légitimes une fois à l’intérieur du réseau.
« Les intrus n’abattent pas la porte d’entrée », dit-il. « Ils utilisent vos couloirs, vos portes, vos cages d’escalier, et à moins que vous ayez les bons capteurs en place, ils semblent y appartenir. »
Pour renforcer la visibilité, les organisations utilisent également des systèmes de gestion des identités et des accès (IAM) pour vérifier les utilisateurs et les machines. L’IAM réduit la surface d’attaque en appliquant le moindre privilège, en supprimant l’accès excessif ou obsolète et en limitant les mouvements latéraux entre les systèmes. L’IAM aide à favoriser la Zero Trust en authentifiant et en autorisant les utilisateurs et les endpoints, en appliquant des politiques d’accès granulaires et en surveillant l’activité.
Les nouveaux outils de détection des menaces d’identité ajoutent une autre couche en identifiant les cas d’abus d’informations d’identification volées à l’intérieur du réseau. Les plateformes d’orchestration des politiques aident à fournir les cartes et les contrôles nécessaires pour appliquer de manière cohérente la confiance zéro et la microsegmentation. Ensemble, ces technologies donnent aux défenseurs la possibilité de repérer les attaquants qui se déplacent vers l’est-ouest et de les arrêter avant qu’ils ne s’aggravent en une faille totale.
IA et automatisation : faire passer le mouvement latéral au niveau supérieur
Bien qu’efficaces, ces défenses ne sont pas une solution miracle. Les attaquants expérimentent déjà des moyens d’automatiser les mouvements latéraux à l’aide de l’IA, ce qui pourrait accélérer la reconnaissance et l’abus d’informations d’identification une fois qu’ils sont entrés. Cunningham pense que les défenseurs peuvent suivre le rythme, mais uniquement s’ils cessent de traiter la visibilité est-ouest comme facultative.
« Les adversaires n’attendent pas que vous réalisiez votre budget », dit-il. « Ils innovent, que vous le soyez ou non. »
Les équipes de sécurité proactives testent déjà les façons dont l’ IA et l’automatisation peuvent être utilisées pour se défendre contre ces attaques. L’apprentissage automatique peut être efficace pour détecter les anomalies dans le comportement des utilisateurs et l’activité globale du réseau, en isolant automatiquement les menaces et en concevant des réponses rapides et précises qui peuvent contrecarrer les attaquants à mi-parcours.
Kindervag informe les dirigeants d’entreprise que tout changement ou toute mise à niveau des solutions ou protocoles de sécurité doit être stratégique, et non fragmentaire. Les outils Zero Trust, de microsegmentation et de détection ne sont efficaces que s’ils sont liés à une compréhension claire de ce qui doit être protégé et pourquoi.
« Tous les événements de cybersécurité importants sont le résultat d’une règle d’ autorisation », déclare-t-il. « Tout dépend de la politique. Qu’est-ce que j’autorise ? Qu’est-ce que je refuse ? C’est ainsi que vous empêchez les attaquants de se déplacer une fois qu’ils sont entrés. »
La réalité est que des violations se produiront. Ce qui compte, c’est de savoir s’ils restent confinés ou métastasés en un incident de type MITRE ou Change Healthcare. Les entreprises qui adoptent un modèle de défense en profondeur, vérifient chaque connexion et surveillent de près leurs réseaux sont celles qui sont les plus susceptibles d’empêcher le mouvement est-ouest de devenir des actualités de premier plan.
