Imagínese un ladrón entrando en un edificio de oficinas. Abre una ventana, se mueve dentro y se encuentra en una pequeña habitación con un escritorio y gabinetes de archivos. El edificio de oficinas en sí es amplio. La sala en la que el ladrón ha aterrizado es solo una de cientos.
¿Ese ladrón limitará su búsqueda de hurto a la única habitación en la que se encuentra? Por supuesto que no. Va a recorrer todo el edificio lo más que pueda, buscando los elementos más valiosos que pueda encontrar sin ser atrapado.
Los ciberdelincuentes hacen lo mismo. Utilizan información sobre computadoras comprometidas para comprometer y obtener acceso a cuentas y computadoras adicionales, una técnica conocida como movimiento lateral (se abre en una nueva pestaña).
¿Qué es el movimiento lateral de la red?
Los atacantes obtienen acceso a un solo endpoint y cometen cualquier travesura que puedan en él. Luego, exploran y buscan descubrir a qué otros puntos finales y sistemas tiene acceso el primer endpoint o su usuario.
Escanean el endpoint comprometido en busca de credenciales para aplicaciones y otros puntos finales. Con las credenciales que encuentran, se mueven sigilosamente de un endpoint a endpoint, de un dispositivo a otro.
Si su objetivo es implantar malware como ransomware, probablemente lo harán en cada endpoint al que lleguen. Si su objetivo es robar información, es probable que mantengan un perfil bajo y busquen puntos finales con cualquier información que consideren valiosa. Esa información podría ser registros de clientes, información de cuenta bancaria o propiedad intelectual.
El alcance del daño en un ataque depende de cuán amplio pueda moverse el atacante por la red. Reduzca el movimiento lateral y habrá limitado en gran medida el daño que puede causar un atacante.
Para limitar el movimiento lateral, es útil entender cómo funciona.
El movimiento lateral depende de los permisos para usuarios, grupos y puntos finales
Supongamos que un atacante ha obtenido acceso a un endpoint, que puede ser una computadora personal (PC), una Mac o un servidor Linux. Quizás el empleado a cargo de ese endpoint haya hecho clic en un mensaje de phishing y descargado malware inadvertidamente. O quizás el atacante haya utilizado algunas combinaciones robadas de nombre de usuario o contraseña para acceder al endpoint.
De una manera u otra, el atacante ha iniciado sesión y ahora está activo en ese endpoint inicial. El lugar al que el atacante puede ir desde allí depende en gran medida de los permisos disponibles para la cuenta que se ha visto comprometida.
Cómo funciona el movimiento lateral de la red
Digamos que el atacante ha accedido a la computadora portátil de Jim y ha iniciado sesión a través de la cuenta de usuario estándar de Jim. Jim también puede acceder a la cuenta de administrador de su computadora portátil, por lo que el atacante utiliza la cuenta de usuario de Jim para iniciar sesión como administrador.
Como administrador, el atacante tiene el control total de la computadora portátil de Jim. Existe una buena probabilidad de que la cuenta de administrador también tenga permiso para acceder a otros puntos finales, ya que las organizaciones de TI a menudo crean cuentas de administrador que se comparten entre los puntos finales.
Ahora, utilizando la cuenta de administrador, el atacante puede pasar de la computadora portátil de Jim al sistema de escritorio de Sarah. Si Sarah es miembro de un grupo de usuarios para otros puntos finales, el atacante puede iniciar sesión como Sarah y usar ese permiso de grupo para acceder a todos los puntos finales accesibles para ese grupo.
Si un atacante nota que Luis ha iniciado sesión en uno de esos puntos finales, el atacante podría usar malware para leer las credenciales de inicio de sesión de Luis desde la memoria del endpoint. Luego, el atacante puede acceder a cualquier endpoint al que Luis o cualquier grupo al que Luis pertenezca pueda acceder. Si Luis tiene permiso para la cuenta de administrador de Windows Domain (se abre en una nueva pestaña), el atacante puede usar esa cuenta para acceder a todas las computadoras con Windows de la empresa.
Cuenta por cuenta, endpoint por endpoint, los atacantes se mueven por las redes de esta manera sigilosa. Pueden moverse lentamente durante muchas horas o días para evitar llamar la atención sobre su trabajo. O podrían moverse más rápidamente, esperando atravesar la red lo más lejos posible antes de que la organización de TI detecte su actividad y tome medidas para detenerlas.
Mejores prácticas para evitar el movimiento lateral
Dado que los atacantes dependen de los permisos de usuario y grupo para moverse a través de las redes, una de las mejores prácticas es limitar los permisos de usuario y grupo.
Es importante entender qué permisos de usuario y grupo ya se han establecido. Muchas organizaciones de TI creen que saben cómo se han configurado los permisos de usuario y grupo, pero las auditorías de los permisos reales a menudo revelan sorpresas.
Por ejemplo, en una empresa, los permisos predeterminados permitieron que cada usuario accediera accidentalmente a una cuenta de admin. Por lo tanto, cada usuario controlaba todos los puntos finales de la empresa.
Por lo tanto, vuelva a verificar. Audite sus permisos de usuario y grupo para comprender realmente qué riesgos existen en la configuración de permisos de su organización.
Limitación de permisos de usuario y grupo
Luego, limite los permisos de usuario y grupo tanto como sea posible. Brinde a los usuarios solo los permisos que necesitan para hacer su trabajo. Limitar el acceso a otros usuarios, grupos y puntos finales hace que sea mucho más difícil para los atacantes pasar de una cuenta a otra cuenta, incluso si logran hacerse cargo de un endpoint.
Piense en nuestro ejemplo de un ladrón entrando en un edificio. Si el ladrón encontrara que la mayoría de las puertas interiores estaban cerradas con llave y que los elevadores y las escaleras requerían códigos de acceso, se minimizarían las pérdidas por la interrupción.
La restricción de permisos de usuario y grupo funciona de la misma manera. Después de tomar el control de un endpoint, un atacante podría pensar que ha golpeado el premio mayor, pero una vez que descubra los permisos restringidos, pronto se dará cuenta de que ha golpeado un muro.
El movimiento lateral es una técnica esencial para los ciberdelincuentes. Al monitorear y restringir los permisos para usuarios, grupos y puntos finales, puede hacer que esa técnica sea mucho menos efectiva.
Obtenga más información sobre cómo Tanium puede ayudar a su organización a defenderse del movimiento lateral en nuestra publicación anterior, 5 Formas en que Tanium Impact ayuda a las empresas a protegerse contra los movimientos laterales en ciberataques (se abre en una nueva pestaña).
