Lateral Movement
generalDéfinition
Techniques utilisées par un attaquant pour se déplacer d'un système à un autre après l'accès initial, transformant la compromission d'un endpoint en intrusion réseau globale.
Techniques principales
Pass-the-Hash réutilise des hashes NTLM. Pass-the-Ticket utilise des tickets Kerberos volés. Le NTLM relay redirige les authentifications. L'exploitation des protocoles d'administration (RDP, WMI, PSExec, WinRM, SMB) permet l'exécution distante de commandes.
Détection
La détection est un défi car ces techniques utilisent des protocoles légitimes. Les solutions EDR détectent les comportements suspects sur les endpoints. Les solutions NDR analysent le trafic est-ouest pour les connexions anormales. Le threat hunting sur les logs d'authentification identifie les mouvements furtifs.
Défenses
La segmentation réseau, la micro-segmentation, le tiering model AD et le moindre privilège sont les défenses les plus efficaces. La restriction des protocoles d'administration, la suppression des comptes administrateur locaux partagés et LAPS limitent les possibilités de déplacement.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis