Con casi cinco años de evolución detrás, Tanium Impact se ha convertido en una poderosa herramienta para visualizar e interrumpir el movimiento lateral antes de que suceda. En este episodio, Josh explica cómo Impact crea un gráfico de su entorno utilizando datos de sensores, relaciones de Active Directory y análisis de sesión para exponer el riesgo basado en credenciales. Verá cómo las membresías de grupos anidados, las sesiones expuestas y los privilegios mal configurados pueden crear rutas invisibles para los atacantes, y cómo Impact lo ayuda a encontrarlas y corregirlas.
Ya sea que esté respondiendo a un incidente o fortaleciendo proactivamente su entorno, este episodio muestra cómo usar Impact para priorizar la corrección, definir el radio de voladura y reducir el riesgo rápidamente. Con nuevas mejoras de IU, integración de Tanium Threat Response y un vistazo de las capacidades de finalización de la próxima sesión, este recorrido está repleto de información procesable.
Conclusiones clave
- El movimiento lateral es un componente de cada filtración. Tanium Impact lo ayuda a identificar proactivamente a dónde podrían ir los atacantes a continuación antes de que lleguen allí.
“Cada filtración o compromiso que ocurre incluye un componente de movimiento lateral en la cadena de ataque. Entonces, una vez que un adversario aterriza dentro del entorno, inmediatamente comienza a buscar dónde más puede propagarse”.Josh Bryant, director de gestión de productos de Tanium
- Impact crea un gráfico de su entorno utilizando los datos del sensor de Tanium, la sincronización de Active Directory y el análisis de sesiones para mapear las relaciones de exposición y control.
- Identifique el riesgo de cuentas y grupos anidados en todos los dominios de Active Directory. Impact revela relaciones de control directas e indirectas, incluidas las membresías de grupos profundamente anidadas que pueden otorgar privilegios de administrador involuntariamente en todos los puntos finales.
[Leer también: ¿Qué es la seguridad de Active Directory? Riesgos y mejores prácticas]
- Los servicios compartidos de consulta y criticidad de directorios de Tanium son componentes esenciales para habilitar Impact. La consulta de directorio extrae datos de usuarios, grupos y objetos informáticos de AD, mientras que Criticality asigna niveles de importancia, denominados niveles de criticidad, a activos como puntos finales, usuarios y grupos.
- Utilice los niveles de criticidad para priorizar el triaje. Los activos se pueden marcar como bajos, medios, altos o críticos. Los valores predeterminados se aplican a controladores de dominio y grupos privilegiados utilizando SID conocidos.
- Las nuevas mejoras de IU incluyen una vista de Hallazgos con pestañas, filtros basados en columnas y un gráfico de Ruta más corta que visualiza cómo se pueden usar las credenciales para moverse lateralmente.
“Si un atacante aterriza, digamos, este punto endpoint superior aquí, vemos que la salida es cero. Eso significa que no hay potencial de movimiento lateral desde este punto de partida y podemos corregirlo fácilmente”.Josh Bryant, director de gestión de productos de Tanium
- Alcance rápidamente los puntos finales durante la respuesta a incidentes. Utilice análisis de salto saliente y gráficos visuales para determinar dónde un usuario o endpoint comprometido podría moverse lateralmente y dónde enfocar su investigación.
- El análisis de sesión muestra qué usuarios tienen sesiones activas o inactivas en los puntos finales , qué tipos de inicio de sesión se usaron y si las credenciales están expuestas.
- Consulte el impacto del movimiento lateral en las alertas en Tanium Threat Response. Impact se integra con Threat Response para mostrar qué tan lejos podría moverse un atacante desde el punto de origen de una alerta, lo que ayuda a priorizar el triaje y la respuesta.
- Las próximas características incluyen la finalización de la sesión a través de Tanium Automate, lo que permite a los equipos de seguridad cortar inmediatamente el acceso a las cuentas comprometidas.
