Así es como funciona:
1. Compromiso inicial: Los atacantes primero obtienen un punto de apoyo en una red, a menudo a través del phishing, explotando vulnerabilidades o el uso de credenciales robadas.
2. Establecer confianza: Luego, el atacante aprovecha las relaciones de confianza existentes entre las computadoras dentro de la red. Esta confianza podría provenir de:
* fideicomisos del dominio: En los entornos de Active Directory, las relaciones de confianza existen entre dominios, lo que permite a los usuarios de un dominio acceder a los recursos en otro.
* Derechos de administrador locales: Si un usuario tiene derechos de administrador local en múltiples máquinas, los atacantes pueden usar estas credenciales para moverse lateralmente entre ellas.
3. Movimiento lateral: Al explotar estos fideicomisos, el atacante salta de una computadora comprometida a otra, a menudo dirigiendo sistemas con datos valiosos o privilegios más altos.
Técnicas comunes utilizadas en ataques de movimiento lateral:
* Pass-the-Hash: Los atacantes roban credenciales de hash y las usan para autenticarse a otros sistemas sin necesidad de la contraseña real.
* Boleto de oro: Explotando vulnerabilidades en la autenticación de Kerberos para crear boletos falsificados que otorgan acceso a cualquier sistema.
* Creación de servicio remoto: Instalación de servicios maliciosos en sistemas remotos para obtener acceso persistente.
* Explotación de vulnerabilidades de software: Aprovechar vulnerabilidades conocidas en aplicaciones u sistemas operativos para obtener acceso remoto.
Protección contra ataques de movimiento lateral:
* Principio de menor privilegio: Otorgue a los usuarios y aplicaciones solo el acceso que necesitan para hacer su trabajo.
* Políticas de contraseña segura: Haga cumplir contraseñas complejas y gire regularmente.
* Autenticación multifactor (MFA): Implemente MFA para evitar el acceso no autorizado, incluso si las credenciales se ven comprometidas.
* segmentación de red: Divida la red en segmentos aislados más pequeños para limitar el impacto de una violación.
* Monitoreo de seguridad y detección de amenazas: Use herramientas de seguridad para monitorear la actividad de la red, detectar un comportamiento sospechoso y responder rápidamente a los incidentes.