Laterale beweging in cyberbeveiliging

Wat is laterale beweging in cyberbeveiliging?

Laterale beweging is een techniek die bedreigers gebruiken om hun bereik binnen een doelnetwerk uit te breiden. Tijdens deze fase van een cyberaanval gebruikt de indringer iemands gecompromitteerde referenties om het netwerk te verkennen en te zoeken naar manieren om toegangsprivileges te escaleren, totdat ze de gebruikersrechten hebben die ze nodig hebben om hun aanval te voltooien.

Kwaadaardige laterale beweging kan moeilijk te detecteren zijn omdat de dreiger legitieme gebruikersreferenties en netwerkgereedschappen gebruikt om zich door het netwerk te bewegen. Als de indringer voorzichtig is en zijn rechten stapsgewijs verhoogt, zal zijn activiteit opgaan in normaal gebruikersgedrag en geen rode vlaggen veroorzaken.

Doel van laterale beweging

Het primaire doel van laterale beweging is om waardevolle doelen te lokaliseren zonder ontdekt te worden. Deze techniek wordt meestal gebruikt nadat de aanvaller voor het eerst toegang heeft gekregen tot het doelwit, maar laterale beweging kan op elk moment worden gebruikt als de aanvaller meer wil weten over het netwerk dat hij met succes heeft gecompromitteerd.

Als de aanvaller zich lateraal verplaatst, kan hij meerdere achterdeurtjes en redundante toegangspunten creëren om het moeilijker te maken voor SIEM-software (Beveiligingsincident- en evenementenbeheer (SIEM)) om hem te detecteren en te blokkeren. Deze redundantie biedt de aanvaller blijvende toegang. Het zorgt ervoor dat als één gecompromitteerde account wordt ontdekt en beveiligd, ze nog steeds op een andere manier toegang tot het netwerk kunnen krijgen.

Terwijl ze hun doel onopgemerkt verkennen, kan de aanvaller deze tijd ook gebruiken om in te stellen wat ze nodig hebben om hun aanvalsdoel te bereiken. Ze kunnen bijvoorbeeld een VPN gebruiken om een versleutelde tunnel op te zetten waarmee ze gegevens kunnen exfiltreren zonder ontdekt te worden, of ze kunnen gegevens versleutelen voor losgeld of kritieke netwerkinfrastructuur saboteren, afhankelijk van het doel van de aanval.

Laterale beweging speelt een belangrijke rol bij geavanceerde aanhoudende bedreigingen. APT’s zijn geavanceerde, langdurige cyberaanvallen waarbij de indringer voet aan de grond krijgt binnen een netwerk en gedurende langere tijd onopgemerkt blijft.

Hoe werkt laterale beweging?

Succesvolle laterale verplaatsing vereist een combinatie van technische vaardigheden en kennis van de doelomgeving.

Kwaadwillende actoren beginnen een cyberaanval vaak met een phishing– of BEC-exploit (business email compromis) om de referenties van een legitieme gebruiker te verkrijgen. In het ideale geval beginnen bedreigers met een account met beheerdersrechten, maar omdat dit niet altijd mogelijk is, zoeken ze naar manieren om een account met legitieme inloggegevens te compromitteren.

Als ze eenmaal binnen zijn, kan de indringer whoami of andere middelen gebruiken om de toegangsrechten van het gecompromitteerde account te bepalen. Met deze kennis kunnen ze het netwerk lateraal verkennen en andere accounts, zwakke plekken in het netwerk of machines vinden om te compromitteren.

Meestal wordt in deze fase van de aanval gezocht naar ongepatchte software, bekende beveiligingslekken, veelvoorkomende misconfiguraties in netwerkservices en softwaretoepassingen, zwakke systeeminstellingen en andere beveiligingslekken die gebruikt kunnen worden om de rechten te escaleren.

Populaire strategieën voor het escaleren van privileges zijn onder andere:

Kwaadaardige DLL’s Sideloaden: Bij deze strategie wordt een kwaadaardig DLL-bestand geplaatst op een locatie waar een softwaretoepassing een legitieme DLL verwacht te vinden. Zolang de app legitiem is, wordt kwaadaardige activiteit waarschijnlijk niet opgemerkt door antivirus software. Wanneer de DLL door de applicatie wordt geladen, wordt deze uitgevoerd met dezelfde rechten als de applicatie zelf. Als de applicatie beheerdersrechten heeft, dan heeft de kwaadaardige DLL ook die rechten.

Pass-the-Hash (PtH): Deze techniek maakt gebruik van de manier waarop sommige besturingssystemen (OS) gebruikersgegevens hashen, opslaan en verifiëren. Als de authenticatie wordt uitgevoerd met pass-the-hash technieken, kan de aanvaller mogelijk een hash vastleggen die toebehoort aan een geprivilegieerde gebruiker en daarmee inloggen.

Remote Execution Tools gebruiken: Aanvallers kunnen het Remote Desktop Protocol (RDP) misbruiken om commando’s uit te voeren waarmee ze op zoek kunnen gaan naar extra kwetsbaarheden. Omdat dit protocol vaak wordt gebruikt door systeembeheerders, zal het gebruik ervan door een aanvaller die legitieme inloggegevens heeft gecompromitteerd waarschijnlijk geen rode vlag opwerpen.

Laterale beweging voorkomen

Laterale verplaatsing kan een uitdaging zijn om te detecteren en erop te reageren, omdat als de aanvaller voorzichtig is, hun activiteit zal lijken op legitiem gebruikersgedrag, omdat ze geldige referenties en systeemtools gebruiken. De belangrijkste strategieën om de impact van ongeautoriseerde laterale verplaatsing te beperken zijn de volgende:

• Scheid het netwerk in verschillende zones om het aanvalsoppervlak te beperken en vertraag de mogelijkheid van de aanvaller om zich vrij door het netwerk te bewegen.
• Implementeer beveiligingscontroles die het Principle of Least Privilege (PoLP) afdwingen en multi-factor authenticatie (MFA) vereisen.
• Een Zero Trust-cultuur bevorderen.
• Het principe van minimale privileges(PoLP) afdwingen
• AI-ondersteunde anomaliedetectiesystemen implementeren die ongebruikelijke gedragspatronen kunnen herkennen.
• Houd alle systemen en software gepatcht en up-to-date.
• Informeer medewerkers over best practices op het gebied van beveiliging om het risico op schending van geloofsbrieven te verkleinen.