Tras casi cinco años de evolución, Tanium Impact se ha convertido en una potente herramienta para visualizar y impedir los movimientos laterales antes de que se produzcan. En este episodio, Josh explica cómo Impact crea un gráfico de su entorno utilizando datos de sensores, relaciones de Active Directory y análisis de sesiones para detectar riesgos relacionados con las credenciales. Verá cómo las pertenencias a grupos anidados, las sesiones expuestas y los privilegios mal configurados pueden crear vías de acceso invisibles para los atacantes, y cómo Impact le ayuda a detectarlas y solucionarlas.
Tanto si está respondiendo a un incidente como si está reforzando de forma proactiva la seguridad de su entorno, este episodio le muestra cómo utilizar Impact para priorizar las medidas correctivas, determinar el alcance del impacto y reducir el riesgo con rapidez. Con nuevas mejoras en la interfaz de usuario, la integración de con Tanium Threat Response y un adelanto de las próximas funciones de terminación de sesiones, este tutorial está repleto de información útil.
Conclusiones clave
- El movimiento lateral es un componente de toda intrusión. Tanium Impact le ayuda a identificar de forma proactiva cuáles podrían ser los próximos pasos de los atacantes antes de que los den.
«: Cada una de las brechas de seguridad o incidentes de compromiso que se producen incluye un componente de movimiento lateral en la cadena de ataque. Así pues, una vez que un adversario se introduce en el entorno, comienza inmediatamente a buscar otros lugares a los que pueda extenderse.»Josh Bryant, director de gestión de productos de Tanium
- Impact elabora un gráfico de su entorno utilizando los datos de los sensores de Tanium, la sincronización con Active Directory y el análisis de sesiones para identificar la exposición y las relaciones de control.
- Identifique el riesgo que suponen las cuentas y los grupos anidados en los dominios de Active Directory. Impact revela relaciones de control directas e indirectas, incluidas las pertenencias a grupos profundamente anidadas que pueden otorgar, de forma involuntaria, privilegios de administrador en todos los terminales.
[Lea también: ¿En qué consiste la seguridad de Active Directory? [Riesgos y buenas prácticas]
- Los servicios compartidos «Tanium Directory Query» y «Criticality» son componentes esenciales para la puesta en marcha de Impact. La consulta de directorio extrae datos de objetos de usuario, grupo y equipo de AD, mientras que la función de criticidad asigna niveles de importancia, denominados «niveles de criticidad», a activos como terminales, usuarios y grupos.
- Utilice los niveles de criticidad para establecer prioridades en la clasificación de incidencias. Los activos pueden clasificarse como de riesgo bajo, medio, alto o crítico. Los valores predeterminados se aplican a los controladores de dominio y a los grupos con privilegios mediante SID conocidos.
- Entre las nuevas mejoras de la interfaz de usuario de se incluyen una vista de «Resultados» con pestañas, filtros basados en columnas y un gráfico de «Ruta más corta» que muestra cómo se pueden utilizar las credenciales para desplazarse lateralmente.
«Si un atacante accede, por ejemplo, a este punto final superior, vemos que el tráfico saliente es cero. Esto significa que no existe posibilidad de desplazamiento lateral desde este punto de partida, y podemos solucionarlo fácilmente.»Josh Bryant, director de gestión de productos de Tanium
- Identifique rápidamente los dispositivos finales durante una respuesta a incidentes de « ». Utilice el análisis de saltos de salida y los gráficos visuales para determinar hacia dónde podría desplazarse lateralmente un usuario o un terminal comprometido y en qué aspectos debe centrar su investigación.
- El análisis de sesiones muestra qué usuarios tienen sesiones activas o inactivas en los dispositivos finales, qué tipos de inicio de sesión se han utilizado y si se han expuesto credenciales.
- Consulte el impacto del movimiento lateral en las alertas de Tanium Threat Response. Impact se integra con Threat Response para mostrar hasta qué punto un atacante podría alejarse del punto de origen de una alerta, lo que ayuda a priorizar la evaluación y la respuesta.
- Entre las próximas funciones de se incluyen la finalización de sesiones a través de y Tanium Automate, lo que permitirá a los equipos de seguridad bloquear de inmediato el acceso a las cuentas comprometidas.
