オフィスビルに侵入した泥棒を想像してみてください。 彼は窓を開けて、中に入って、デスクとファイルキャビネットのある小さな部屋にいます。 オフィスビル自体は広大です。 泥棒が上陸した部屋は数百の部屋の1つにすぎません。
その泥棒は、犯人探しを、たまたま立っている1つの部屋に制限するのでしょうか？ もちろんそうではありません。 彼は可能な限り多くの建物を巡回し、捕まることなく見つけられる最も貴重なアイテムを探します。
サイバー犯罪者も同じことをします。 侵害されたコンピュータの情報を使用して、ラ 横方向の移動と呼ばれる追加のアカウントやコンピュータを侵害し、アクセスできるようにします (新しいタブで開く)。
ネットワーク横方向の移動とは？
攻撃者は1つのエンドポイントにアクセスし、そのエンドポイントで可能なあらゆる悪意を犯します。 その後、最初にエンドポイントまたはそのユーザがアクセスできる他のエンドポイントやシステムDiscover検します。
侵害されたエンドポイントをスキャンして、アプリケーションやその他のエンドポイントの資格情報を確認します。 見つけた資格情報を使用して、エンドポイントからエンドポイント、デバイスエンドポイントからデバイスへと密かに移動します。
ランサムウェアなどのマルウェアを埋め込むことが目標であれば、到達する各エンドポイントでそうするでしょう。 情報を盗むことが目標であれば、ロープロファイルを維持し、価値があると思われる情報を含むエンドポイントを検索します。 この情報には、お客様の記録、アカウント情報、知的財産などがあります。
攻撃による損害の程度は、攻撃者がネットワーク内をどの程度移動できるかによって異なります。 横方向の移動を縮小すると、攻撃者が与えるダメージが大幅に制限されます。
横方向の移動を制限するには、その仕組みを理解すると便利です。
ラ横方向の移動は、ユーザ、グループ、エンドポイントのアクセス権限によって異なります
攻撃者が、パーソナルコンピュータ(PC)、Mac、Linuxサーバなどのエンドポイントにアクセスしたと仮定しましょう。 おそらく、そのエンドポイントを担当する従業員が フィッシングメッセージをクリックし 、誤ってマルウェアをダウンロードしたのでしょう。 あるいは、攻撃者が盗んだユーザ名またはパスワードの組み合わせを使用してエンドポイントにアクセスした可能性があります。
攻撃者がログインし、その初期エンドポイントでアクティブになりました。 攻撃者がそこから移動できる場所は、侵害されたアカウントが利用できるアクセス権限に大きく依存します。
ネットワーク横方向の移動の仕組み
攻撃者がJimのノートパソコンにアクセスし、Jimの標準的なユーザアカウントからログインしたとしましょう。 Jimはまた、自分のノートパソコンのAdminアカウントにもアクセスできるため、攻撃者はJimのユーザアカウントを使用してAdminとしてログインします。
Adminとして、攻撃者はJimのノートパソコンを完全に制御します。 IT組織は、エンドポイント間で共有されるAdminアカウントを作成することが多いため、Adminアカウントには他のエンドポイントにアクセスするアクセス権限がある可能性があります。
これで、Adminアカウントを使用して、攻撃者はジムのノートパソコンからサラのデスクトップシステムに移動できます。 Sarahが他のエンドポイントのユーザグループのメンバーである場合、攻撃者はSarahとしてログインし、そのグループアクセス権限を使用して、そのグループがアクセス可能なすべてのエンドポイントにアクセスできます。
攻撃者が、これらのエンドポイントの1つでLuisがログインしていることに気付いた場合、攻撃者はマルウェアを使用して、エンドポイントのメモリからLuisのログイン資格情報を読み取ることがあります。 攻撃者は、Luisが属するすべてのエンドポイント、またはLuisが属する任意のグループにアクセスすることができます。 Luisが Windowsドメイン (新しいタブで開く) Adminアカウントに対するアクセス権限を持っている場合、攻撃者はそのアカウントを使用して社内のすべてのWindowsコンピュータにアクセスできます。
アカウント別アカウント、エンドポイント別エンドポイント、攻撃者は、この巧妙な方法でネットワークを移動します。 仕事に注意を向けないように、数時間または数日かけてゆっくりと動くことがあります。 あるいは、IT企業活動を検知し、阻止するための措置を講じる前に、可能な限りネットワークを横断することを期待して、より迅速に移動することもできます。
横方向の移動を防止するためのベストプラクティス
攻撃者はネットワーク間を移動するユーザとグループのアクセス権限に依存するため、ベストプラクティスの1つはユーザとグループのアクセス権限を制限することです。
どのユーザおよびグループのアクセス権限がすでに確立されているのかを理解することが重要です。 多くのIT組織は、ユーザとグループのアクセス権限の設定方法を知っていると思っていますが、実際のアクセス権限の監査Reveal驚くことがよくあります。
例、ある企業では、デフォルトのアクセス権限設定によって、すべてのユーザにAdminアカウントへのアクセス権が誤って付与されました。 このため、すべてのユーザがすべての会社のエンドポイントを管理していました。
ですから、ダブルチェックしてください。 ユーザおよびグループのアクセス権限を監査して、企業アクセス権限設定にどのようなリスクが存在するかを理解してください。
ユーザおよびグループのアクセス権限の制限
次に、ユーザおよびグループのアクセス権限を可能な限り制限します。 ジョブの実行に必要なアクセス権限のみをユーザに付与します。 他のユーザ、グループ、エンドポイントへのアクセスを制限すると、攻撃者がエンドポイントを乗っ取ることができたとしてもアカウント、アカウント間を移動することがはるかに困難になります。
泥棒が建物に侵入した例を思い出してください。 泥棒がほとんどの内部ドアがロックされていて、エレベーターと階段にパスコードが必要だとわかった場合、侵入による損失は最小限に抑えられます。
ユーザアクセス権限とグループアクセス権限の制限は、同じように機能します。 エンドポイントを乗っ取った攻撃者は、彼らが大当たりしたと考えるかもしれませんが、制限付きアクセス権限を発見すると、すぐに壁にぶつかったことに気づくでしょう。
横方向の移動は、サイバー犯罪者にとって不可欠なテクニックです。 ユーザ、グループ、エンドポイントのアクセス権限を監視および制限することで、その手法の効果をはるかに低下させることができます。
Learn more about how Tanium can help your organization defend against lateral movement in our previous post, 5 Ways Tanium Impact Helps Businesses Guard Against Lateral Movements in Cyberattacks (opens in a new tab).
