¿Qué es un movimiento lateral en la ciberseguridad?

Un movimiento lateral ocurre en la ciberseguridad cuando un atacante compromete una cuenta o dispositivo y utiliza el compromiso para obtener acceso a otras cuentas o dispositivos. El movimiento lateral y la escalada de privilegios suelen ir de la mano cuando un atacante se mueve por la red y continúa obteniendo acceso con privilegios cada vez más altos hasta que se roban datos confidenciales. Los atacantes pueden obtener movimiento lateral sin detección si la red no tiene herramientas de monitoreo implementadas. Para detener el movimiento lateral, las organizaciones necesitan una infraestructura de seguridad resiliente capaz de detectar patrones anómalos. 

Comprender el movimiento lateral

Por lo general, los datos confidenciales son accesibles solo con cuentas de usuario de alto privilegio, que son pocas en número. Por otro lado, las cuentas de usuarios con privilegios bajos son mucho más numerosas, lo que les brinda a los atacantes más oportunidades cuando necesitan cualquier cuenta para un compromiso inicial. Por ejemplo, los documentos fiscales corporativos generalmente solo son accesibles para contadores, directores financieros y analistas financieros. Si bien solo hay algunas de estas cuentas, las cuentas con privilegios más bajos podrían utilizarse para inyectar malware en la red o enviar correos electrónicos de phishing a los empleados financieros para obtener sus credenciales de cuenta.

El movimiento lateral también puede dar a los atacantes acceso a otros dispositivos. Por ejemplo, un atacante compromete una cuenta en una estación de trabajo con acceso de máquina local a un servidor. Luego, se puede instalar malware en el servidor. El malware puede ser ransomware, una herramienta de acceso remoto (RAT) o un script utilizado para exfiltrar datos. En la mayoría de los movimientos laterales, el objetivo es obtener datos confidenciales. 

Técnicas utilizadas en el movimiento lateral

En la mayoría de los movimientos laterales, el compromiso inicial es una cuenta de usuario comercial. Los atacantes obtienen acceso a estas cuentas utilizando algunas estrategias: rocíos de credenciales, pasar el hash, phishing o inyección de malware. Esta es una breve descripción de cada estrategia:

• Rociadores de credenciales: Solicitudes de autenticación de script de atacantes con credenciales conocidas. Si los usuarios asignan la misma contraseña a varias cuentas, es posible que las credenciales robadas de un sitio web puedan autenticar a un atacante en las cuentas comerciales del usuario, especialmente si no se configura la autenticación de dos factores.
• Pase el hash: Si bien una base de datos de hashes de contraseña no revela un valor de texto sin formato, los ataques de diccionario de fuerza bruta podrían exponer el valor de texto sin formato detrás de un hash.
• Phishing: En el compromiso de correo electrónico comercial (BEC), los atacantes comprometen una cuenta de correo electrónico y envían correos electrónicos de phishing a usuarios con mayor privilegio.
• Inyección de malware: Las herramientas de acceso remoto y el escondite de malware sobre los datos podrían proporcionar acceso a otras máquinas o cuentas en la red.

Los atacantes a menudo usan phishing o malware para obtener acceso primero a una cuenta de bajos privilegios. Al usar la cuenta de correo electrónico de ese usuario, el atacante envía un mensaje a otro usuario en finanzas, recursos humanos o en el equipo ejecutivo pidiendo acceso a un recurso específico. Si el objetivo de phishing se obliga, el atacante ahora tiene acceso a datos confidenciales.

Herramientas y tecnologías que facilitan el movimiento lateral

Los ciberdelincuentes aprovechan un conjunto de herramientas para realizar varios ataques. Los grupos de atacantes pueden crear sus propios, pero la comunidad de piratería informática tiene aplicaciones abiertas y gratuitas. Estos son algunos ejemplos:

• Mimikatz: Algunos programas almacenan en caché las credenciales en la memoria. Mimikatz examina la memoria de la computadora para obtener credenciales almacenadas en caché para acceder a otros servidores o estaciones de trabajo.
• PsExec: Microsoft desarrolló PsExec para administradores de red. Permite a los administradores iniciar o detener servicios en servidores remotos. En las manos equivocadas, PsExec se puede usar para iniciar malware en un servidor remoto. El malware se puede usar para robar datos o credenciales.
• PowerShell: PowerShell es la versión de Microsoft de scripts y lenguajes de scripts, pero se puede usar para acceder a computadoras remotas, descargar malware a un dispositivo local o realizar actividades maliciosas en la red.

Detección y prevención del movimiento lateral

Después de un compromiso inicial, un atacante tiene tiempo limitado para elevar los privilegios o moverse lateralmente por la red. Antes de la ruptura de la cuenta de bajos privilegios, las organizaciones deben detectar un comportamiento extraño de la red para detener daños adicionales después de una filtración de datos inicial. Las organizaciones tienen varias estrategias para detectar la actividad anómala y detener el movimiento lateral:

• Use la protección de punto final: Los agentes que se ejecutan en puntos finales (p. ej., infraestructura en la nube o dispositivos remotos del usuario) actualizan automáticamente el software, se aseguran de que el antivirus se esté ejecutando y evitan que se instale malware.
• Habilite el monitoreo de red: Use las soluciones de monitoreo de red para observar continuamente los patrones de comportamiento de las cuentas de usuarios. Por ejemplo, un número elevado de solicitudes de acceso en un documento fiscal después de la temporada fiscal podría indicar un compromiso. El monitoreo de la red alerta a los administradores para que revisen la actividad.
• Ofrezca capacitación sobre seguridad: Capacite a los usuarios con altos privilegios para identificar la suplantación de identidad y la ingeniería social.
• Configure la segmentación de red: La segmentación de su red bloquea el acceso de un segmento a otro segmento que almacena información confidencial. Por ejemplo, el segmento financiero debe bloquear las solicitudes del segmento de ventas. Esta estrategia reduce la movilidad de un movimiento lateral.
• Encriptar datos: Si sufre una violación de datos, los datos que se hayan cifrado serán ilegibles para un atacante.

Conclusiones

Para detener el movimiento lateral, la clave del éxito es la detección y el monitoreo proactivos, la segmentación de su red y la protección de los dispositivos. Las regulaciones de cumplimiento también requieren el monitoreo y la auditoría de las solicitudes de acceso a datos confidenciales. SIEM (gestión de eventos e información de seguridad) es una buena solución para monitorear y alertar a los administradores sobre comportamientos inusuales. Para complementar su infraestructura de seguridad, proporcione capacitación a los empleados y contratistas para ayudarlos a identificar e informar posibles ataques como phishing.