Movimento Lateral: Técnicas dos Atacantes e Melhores Práticas para Defender Sua Organização

Introdução

Mesmo que você tenha implementado um paradigma de segurança Zero Trust para a segurança de rede e infraestrutura, você precisa planejar o inevitável — em algum momento, um atacante conseguirá invadir sua rede com a intenção de implantar ransomware ou causar outros danos

Um ataque típico acontece mais ou menos assim:

1. Um ator de ameaças comprometerá uma conta de usuário por meio de uma campanha de phishing, ataque de adivinhação de senha ou outra técnica, obtendo assim um ponto de apoio em um endpoint, dispositivo IoT ou outro sistema.
2. Eles se moverão lateralmente pelo ambiente e escalarão seus privilégios até conseguirem acesso a recursos de TI vitais. Esta fase pode durar semanas ou até meses enquanto o atacante se desloca estudando sua rede.
3. O atacante irá exfiltrar dados sensíveis, implantar ransomware ou outro malware e/ou danificar sistemas para causar inatividade.

Há um equívoco de que as ameaças de movimento lateral são limitadas a redes locais. Mas o movimento lateral pode ocorrer em ambientes de nuvem, e os atacantes podem se mover lateralmente entre sistemas locais e em nuvem.

Cabe ao pessoal de cibersegurança detectar ameaças, conter ataques para prevenir a propagação e limpar todos os sistemas infectados. Para defender sua organização, você precisa entender as técnicas que os atores de ameaças utilizam.

O que são movimento lateral e escalonamento de privilégios?

Os atores de ameaças normalmente obtêm um ponto de apoio em uma rede comprometendo uma conta que possui privilégios de usuário padrão. Para alcançar seu objetivo, o atacante deve obter níveis mais altos de acesso e controle. Assim, quando um atacante entra no seu ambiente, ele começa a fazer reconhecimento para entender a quais recursos tem acesso e quais contas poderá comprometer em seguida. Eles podem usar ferramentas de varredura de rede para identificar hosts ativos, portas abertas ou serviços em execução dentro de uma plataforma de sistema alvo. É durante essa calmaria antes da tempestade que a detecção e a resposta rápida são tão importantes.

Quais técnicas específicas os atacantes utilizam?

Aqui estão algumas das técnicas mais comuns que os atacantes usam para se mover lateralmente e escalar seus privilégios:

• Reconhecimento LDAP — Atores de ameaças podem consultar um serviço de diretório LDAP para coletar informações sobre objetos e atributos a fim de identificar contas de alto privilégio e recursos críticos que desejam controlar.
• Ataque Pass-the-Hash — Esta técnica envolve o roubo de uma senha de um usuário com privilégios elevados interceptando o tráfego de rede ou utilizando malware para extrair o hash da senha.
• Kerberoasting — Adversários podem abusar do protocolo de autenticação Kerberos para roubar as credenciais de usuários do Active Directory que possuem servicePrincipleNames. Na maioria das vezes, essas contas são contas de serviço, portanto, têm níveis de privilégio mais altos do que contas de usuários regulares.
• Explorando vulnerabilidades — Hackers frequentemente exploram vulnerabilidades conhecidas em sistemas ou aplicações para elevar seus privilégios ou ganhar acesso a sistemas adicionais. Esse tipo de ataque se aproveita de softwares não atualizados ou sem patches.
• Abusando de configurações fracas — Configurações fracas em servidores, endpoints e outros sistemas permitem que adversários avancem seus ataques.
• Tirando proveito do RDP — Ferramentas de administração remota como o Remote Desktop Protocol (RDP) em sistemas Windows são frequentemente alvo de criminosos cibernéticos para se movimentarem lateralmente dentro de uma rede.

Hackers frequentemente utilizam ferramentas especializadas projetadas para movimento lateral, como Bloodhound, PowerSploit ou Empire. Elas são usadas para mapear a rede e identificar alvos potenciais para exploração.

Exemplos do Mundo Real

Um exemplo muito divulgado de um ataque com movimento lateral foi o ataque à cadeia de suprimentos da SolarWinds em 2020. Os atores de ameaças obtiveram acesso ao software da SolarWinds e inseriram uma porta dos fundos em uma atualização de software. Quando os clientes instalaram essa atualização, os atacantes obtiveram acesso privilegiado às suas redes.

Outro exemplo naquele mesmo ano foi um ataque de ransomware Ryuk aos Serviços de Saúde Universal. Aqui, os perpetradores usaram um e-mail de phishing para entregar uma aplicação trojan, que depois baixou o ransomware. Os cibercriminosos então usaram Mimikatz para roubar credenciais de administrador a fim de se moverem lateralmente pela rede.

Como as organizações podem se defender?

Para ajudar a prevenir que adversários se movimentem lateralmente no seu ambiente de TI, considere implementar as seguintes melhores práticas.

Restrinja o acesso do administrador local.

Os dias em que você podia atribuir direitos de administrador local a usuários padrão acabaram. Quando uma conta é comprometida, os atacantes herdam automaticamente os direitos dessa conta. Sem direitos de administrador local, os atacantes não serão capazes de instalar códigos maliciosos.

Aplique o princípio do menor privilégio.

O princípio do menor privilégio (POLP) afirma que cada usuário e processo deve ter acesso apenas aos recursos da rede de que precisam para desempenhar suas funções de trabalho designadas e nada mais. A compreensão inicial do POLP evoluiu para incluir um elemento temporal — o privilégio deve existir apenas enquanto for necessário para uma determinada tarefa.

Bloqueie ataques de engenharia social.

Criminosos cibernéticos frequentemente ganham acesso a um ambiente de TI alvo por meio de um ataque de engenharia social no qual manipulam um usuário legítimo a fornecer suas credenciais. É aqui que o treinamento de conscientização de segurança pode render grandes dividendos, pois os usuários são frequentemente os elos mais fracos na sua cadeia de segurança. Existem também soluções de filtragem de e-mails e web disponíveis para mitigar esses tipos de ataques.

Proteja suas senhas.

Senhas fracas facilitam para que atacantes roubem credenciais usando técnicas como password spraying ataques. Existem ferramentas que podem ajudar a garantir que padrões de complexidade de melhores práticas sejam exigidos para todas as senhas. Você deve apoiar essas políticas com treinamento adequado de higiene cibernética para todos os usuários. Além disso, MFA deve ser aplicado a todas as contas de alto privilégio.

Substitua contas privilegiadas permanentes por acesso just-in-time e monitore a atividade,

Os direitos administrativos são as chaves do reino para um hacker. Implementar uma sólida estratégia de Privileged Access Management (PAM) é essencial para proteger contas privilegiadas de serem comprometidas. Um exemplo é a Netwrix Privileged Access Management Solution, que permite identificar contas privilegiadas em todo o seu ambiente de TI e reduzir sua superfície de ataque substituindo-as por acesso pontual (JIT) para a realização de tarefas específicas. Além disso, a solução oferece visibilidade sobre o que os usuários privilegiados estão fazendo em todo o seu ambiente de TI e alerta você para comportamentos suspeitos.

Conclusão

O movimento lateral é uma técnica comum de atacantes. Certifique-se de cortar o caminho deles e contê-los com as estratégias, técnicas e ferramentas corretas.