Imagine a un ladrón que irrumpe en un edificio de oficinas. Abre una ventana a la fuerza, se cuela dentro y se encuentra en una pequeña habitación con un escritorio y unos archivadores. El edificio de oficinas en sí es enorme. La habitación en la que ha aterrizado el ladrón es solo una de entre cientos.
¿Acaso ese ladrón va a limitar su búsqueda de botín a la única habitación en la que se encuentra en este momento? Por supuesto que no. Va a merodear por todo el edificio que pueda, buscando los objetos más valiosos que pueda encontrar sin que le pillen.
Los ciberdelincuentes hacen lo mismo. Utilizan la información de los ordenadores comprometidos para comprometer y acceder a otras cuentas y ordenadores, una técnica conocida como «movimiento lateral» ( ) (se abre en una nueva pestaña).
¿En qué consiste el movimiento lateral en la red?
Los atacantes consiguen acceder a un único terminal y cometen en él todas las fechorías que pueden. A continuación, se dedican a explorar, con el fin de descubrir a qué otros puntos finales y sistemas tiene acceso ese primer punto final o su usuario.
Analizan el dispositivo afectado en busca de credenciales para aplicaciones y otros dispositivos. Utilizando cualquier dato de acceso que encuentren, se desplazan sigilosamente de un punto final a otro, de un dispositivo a otro.
Si su objetivo es introducir malware, como el ransomware, probablemente lo harán en cada terminal al que tengan acceso. Si su objetivo es robar información, es probable que mantengan un perfil bajo y busquen dispositivos finales que contengan cualquier información que consideren valiosa. Dicha información podría consistir en registros de clientes, datos de cuentas bancarias o propiedad intelectual.
La magnitud de los daños provocados por un ataque depende del alcance con el que el atacante pueda moverse por la red. Si limita el movimiento lateral, habrá reducido considerablemente el daño que pueda causar un atacante.
Para limitar el movimiento lateral, resulta útil comprender cómo funciona.
El movimiento lateral depende de los permisos de los usuarios, los grupos y los puntos finales
Supongamos que un atacante ha conseguido acceder a un terminal, que podría ser un ordenador personal (PC), un Mac o un servidor Linux. Quizá el empleado responsable de ese dispositivo haya hecho clic en un mensaje de phishing y haya descargado malware sin darse cuenta. O tal vez el atacante haya utilizado alguna combinación de nombre de usuario y contraseña sustraída para acceder al terminal.
De una forma u otra, el atacante ha iniciado sesión y ahora está activo en ese terminal inicial. Lo que el atacante pueda hacer a partir de ahí depende en gran medida de los permisos de que disponga la cuenta que ha sido comprometida.
Cómo funciona el desplazamiento lateral en la red
Supongamos que el atacante ha conseguido acceder al ordenador portátil de Jim y ha iniciado sesión mediante la cuenta de usuario estándar de Jim. Jim también tiene acceso a la cuenta de administrador de su ordenador portátil, por lo que el atacante utiliza la cuenta de usuario de Jim para iniciar sesión como administrador.
En su calidad de administrador, el atacante tiene control total sobre el ordenador portátil de Jim. Es muy probable que la cuenta de administrador también tenga permisos para acceder a otros dispositivos, ya que los departamentos de TI suelen crear cuentas de administrador que se comparten entre distintos dispositivos.
Ahora, utilizando la cuenta de administrador, el atacante puede pasar del ordenador portátil de Jim al ordenador de sobremesa de Sarah. Si Sarah forma parte de un grupo de usuarios para otros puntos finales, el atacante puede iniciar sesión como Sarah y utilizar los permisos de dicho grupo para acceder a todos los puntos finales a los que tiene acceso ese grupo.
Si un atacante detecta que Luis ha iniciado sesión en uno de esos dispositivos, podría utilizar software malicioso para leer las credenciales de inicio de sesión de Luis desde la memoria del dispositivo. De este modo, el atacante puede acceder a cualquier punto final al que pueda acceder Luis o cualquier grupo al que pertenezca Luis. Si Luis tiene permisos para acceder a la cuenta de administrador del dominio de Windows (se abre en una nueva pestaña) , el atacante podría utilizar dicha cuenta para acceder a todos los ordenadores con Windows de la empresa.
Cuenta por cuenta, terminal por terminal, los atacantes se desplazan por la red de esta forma sigilosa. Es posible que actúen con lentitud, a lo largo de muchas horas o días, para no llamar la atención sobre su trabajo. O bien podrían actuar con mayor rapidez, con la esperanza de recorrer la red lo más lejos posible antes de que el departamento de TI detecte su actividad y tome medidas para detenerlos.
Buenas prácticas para prevenir el movimiento lateral
Dado que los atacantes se valen de los permisos de usuarios y grupos para desplazarse por las redes, una de las mejores prácticas consiste en limitar dichos permisos.
Es importante comprender qué permisos de usuarios y grupos se han establecido ya. Muchas organizaciones de TI creen saber cómo se han configurado los permisos de usuarios y grupos, pero las auditorías de los permisos reales suelen deparar sorpresas.
Por ejemplo, en una empresa, la configuración predeterminada de los permisos concedió accidentalmente a todos los usuarios acceso a una cuenta de administrador. Por lo tanto, cada usuario controlaba todos los dispositivos de la empresa.
Por lo tanto, compruébelo dos veces. Revise los permisos de sus usuarios y grupos para comprender realmente qué riesgos existen en la configuración de permisos de su organización.
Restricción de los permisos de usuarios y grupos
A continuación, limite los permisos de los usuarios y los grupos en la medida de lo posible. Conceda a los usuarios únicamente los permisos que necesiten para realizar su trabajo. Limitar el acceso a otros usuarios, grupos y dispositivos dificulta considerablemente que los atacantes puedan desplazarse de una cuenta a otra, incluso si logran hacerse con el control de un dispositivo.
Recuerde nuestro ejemplo del ladrón que irrumpe en un edificio. Si el ladrón comprobara que la mayoría de las puertas interiores están cerradas con llave y que para acceder a los ascensores y las escaleras se necesitan códigos de acceso, las pérdidas derivadas del robo se reducirían al mínimo.
La restricción de los permisos de usuarios y grupos funciona de la misma manera. Una vez que ha tomado el control de un dispositivo, un atacante podría pensar que se ha llevado el gordo, pero, en cuanto descubra que los permisos son restringidos, pronto se dará cuenta de que se ha topado con un obstáculo.
El movimiento lateral es una técnica fundamental para los ciberdelincuentes. Mediante la supervisión y la restricción de los permisos de los usuarios, los grupos y los dispositivos, puede reducir considerablemente la eficacia de esa técnica.
Obtenga más información sobre cómo Tanium puede ayudar a su organización a defenderse contra el movimiento lateral en nuestra entrada anterior: «5 formas en que Tanium Impact ayuda a las empresas a protegerse contra los movimientos laterales en los ciberataques» (se abre en una nueva pestaña).
