Lateral Movement Techniques AD

Définition

Les techniques de mouvement latéral (Lateral Movement) désignent l'ensemble des méthodes utilisées par un attaquant, après une compromission initiale d'un système Active Directory, pour se propager vers d'autres machines ou comptes du domaine afin d'étendre son accès et progresser vers des cibles à plus haute valeur, catégorie référencée globalement sous MITRE ATT&CK Tactic TA0008. Les vecteurs les plus documentés incluent Pass-the-Hash, exploitant un hash NTLM capturé pour s'authentifier sans connaître le mot de passe en clair, Pass-the-Ticket, réutilisant un ticket Kerberos volé, Overpass-the-Hash, convertissant un hash NTLM en ticket Kerberos exploitable, l'exécution distante via PsExec, WMI ou WinRM sur des machines où l'attaquant dispose de droits administrateur local, ainsi que l'exploitation de relations de confiance et de délégations Kerberos mal configurées identifiées via BloodHound. Le mouvement latéral s'appuie fréquemment sur la réutilisation de mots de passe administrateur local identiques sur plusieurs machines, un anti-pattern que LAPS (Local Administrator Password Solution) neutralise en imposant un mot de passe unique et régulièrement renouvelé par machine. La détection repose sur la corrélation d'événements de connexion réseau (Logon Type 3), d'exécution de processus distants et d'accès administratifs anormaux entre des postes n'ayant historiquement aucune interaction, une approche que formalisent les outils UEBA et les modèles de détection comportementale intégrés à Microsoft Defender for Identity.