Stellen Sie sich einen Dieb vor, der in ein Bürogebäude einbricht. Er öffnet ein Fenster, stürzt hinein und findet sich in einem kleinen Raum mit Schreibtisch und Aktenschränken wieder. Das Bürogebäude selbst ist riesig. Der Raum, in dem der Dieb gelandet ist, ist nur einer von Hunderten.
Wird dieser Dieb seine Suche nach Plunder auf den einzelnen Raum beschränken, in dem er zufällig steht? Natürlich nicht. Er wird so viel vom Gebäude wie möglich umherstreifen und nach den wertvollsten Gegenständen suchen, die er finden kann, ohne erwischt zu werden.
Cyberkriminelle machen das Gleiche. Sie verwenden Informationen auf kompromittierten Computern, um zusätzliche Konten und Computer zu kompromittieren und Zugriff auf diese zu erhalten, eine Technik, die als seitliche Bewegung bekannt ist (öffnet sich in einer neuen Registerkarte).
Was ist seitliche Netzwerkbewegung?
Angreifer erhalten Zugriff auf einen einzigen Endpunkt und begehen alles, was sie darauf haben können. Dann gehen sie auf Erkundungstour und versuchen herauszufinden, auf welche anderen Endpunkte und Systeme der erste Endpunkt oder sein Benutzer Zugriff hat.
Sie scannen den kompromittierten Endpunkt nach Zugangsdaten für Anwendungen und andere Endpunkte. Mit allen Anmeldedaten, die sie finden, verschieben sie sich heimlich von Endpunkt zu Endpunkt, von Gerät zu Gerät.
Wenn es ihr Ziel ist, Malware wie Ransomware zu implantieren, wird sie dies wahrscheinlich auf jedem Endpunkt tun, den sie erreichen. Wenn ihr Ziel der Diebstahl von Informationen ist, wird sie wahrscheinlich ein niedriges Profil beibehalten und nach Endpunkten mit allen Informationen suchen, die sie für wertvoll halten. Diese Informationen können Kundendaten, Bankkontoinformationen oder geistiges Eigentum sein.
Das Ausmaß des Schadens bei einem Angriff hängt davon ab, wie weit sich der Angreifer im Netzwerk bewegen kann. Beschränken Sie die seitliche Bewegung und Sie haben den Schaden, den ein Angreifer verursachen kann, stark eingeschränkt.
Um die seitliche Bewegung zu begrenzen, ist es hilfreich zu verstehen, wie sie funktioniert.
Laterale Bewegung hängt von Berechtigungen für Benutzer, Gruppen und Endpunkte ab
Gehen wir davon aus, dass ein Angreifer Zugriff auf einen Endpunkt erhalten hat, der ein Personal Computer (PC), ein Mac oder ein Linux-Server sein kann. Vielleicht hat der für diesen Endpunkt zuständige Mitarbeiter auf eine Phishing-Nachricht geklickt und versehentlich Malware heruntergeladen. Oder vielleicht hat der Angreifer einige gestohlene Kombinationen von Benutzernamen oder Passwort verwendet, um Zugriff auf den Endpunkt zu erhalten.
Auf die eine oder andere Weise hat sich der Angreifer angemeldet und ist jetzt auf diesem ursprünglichen Endpunkt aktiv. Wohin der Angreifer von dort aus gehen kann, hängt weitgehend von den Berechtigungen ab, die für das kompromittierte Konto verfügbar sind.
Funktionsweise der lateralen Netzwerkbewegung
Nehmen wir an, der Angreifer hat Zugriff auf Jims Laptop erhalten und ist über Jims Standardbenutzerkonto angemeldet. Jim hat auch Zugriff auf das Admin-Konto für seinen Laptop, sodass der Angreifer Jims Benutzerkonto verwendet, um sich als Admin anzumelden.
Als Administrator hat der Angreifer die volle Kontrolle über Jims Laptop. Es besteht eine gute Wahrscheinlichkeit, dass das Admin-Konto auch Berechtigungen zum Zugriff auf andere Endpunkte hat, da IT-Organisationen häufig Admin-Konten erstellen, die über Endpunkte hinweg gemeinsam genutzt werden.
Jetzt kann der Angreifer mit dem Admin-Konto von Jims Laptop auf Sarahs Desktop-System wechseln. Wenn Sarah Mitglied einer Benutzergruppe für andere Endpunkte ist, kann sich der Angreifer als Sarah anmelden und diese Gruppenberechtigung verwenden, um auf alle Endpunkte zuzugreifen, auf die diese Gruppe zugreifen kann.
Wenn ein Angreifer bemerkt, dass Luis an einem dieser Endpunkte angemeldet ist, kann der Angreifer Malware verwenden, um die Anmeldedaten von Luis aus dem Speicher des Endpunkts zu lesen. Dann kann der Angreifer auf jeden Endpunkt zugreifen, auf den Luis oder jede Gruppe, der Luis angehört, zugreifen kann. Wenn Luis die Berechtigung für das Windows-Domain-Admin-Konto hat (wird in einer neuen Registerkarte geöffnet), kann der Angreifer dieses Konto verwenden, um auf alle Windows-Computer im Unternehmen zuzugreifen.
Konto für Konto, Endpunkt für Endpunkt, Angreifer bewegen sich auf diese heimliche Weise über das Netzwerk. Sie können sich langsam über viele Stunden oder Tage bewegen, um zu vermeiden, dass sie auf ihre Arbeit aufmerksam gemacht werden. Oder sie könnten sich schneller bewegen und hoffen, das Netzwerk so weit wie möglich zu durchlaufen, bevor die IT-Organisation ihre Aktivität erkennt und Maßnahmen ergreift, um sie zu stoppen.
Best Practices zur Verhinderung von Lateralbewegungen
Da Angreifer auf Benutzer- und Gruppenberechtigungen angewiesen sind, um sich über Netzwerke hinweg zu bewegen, ist eine der Best Practices, Benutzer- und Gruppenberechtigungen einzuschränken.
Es ist wichtig zu verstehen, welche Benutzer- und Gruppenberechtigungen bereits eingerichtet wurden. Viele IT-Organisationen glauben, dass sie wissen, wie Benutzer- und Gruppenberechtigungen eingerichtet wurden, aber Audits tatsächlicher Berechtigungen zeigen oft Überraschungen auf.
Beispiel: In einem Unternehmen hat die Konfiguration der Standardberechtigungen versehentlich jedem Benutzer Zugriff auf ein Administratorkonto gewährt. Daher steuerte jeder Benutzer alle Unternehmensendpunkte.
Also, überprüfen Sie. Überprüfen Sie Ihre Benutzer- und Gruppenberechtigungen, damit Sie wirklich verstehen, welche Risiken in den Berechtigungseinstellungen Ihrer Organisation bestehen.
Einschränken von Benutzer- und Gruppenberechtigungen
Beschränken Sie als Nächstes die Benutzer- und Gruppenberechtigungen so weit wie möglich. Geben Sie Benutzern nur die Berechtigungen, die sie für ihre Aufgaben benötigen. Die Einschränkung des Zugriffs auf andere Benutzer, Gruppen und Endpunkte macht es Angreifern viel schwerer, von Konto zu Konto zu wechseln – selbst wenn sie es schaffen, einen Endpunkt zu übernehmen.
Denken Sie an unser Beispiel eines Diebes, der in ein Gebäude zerbricht. Wenn der Dieb feststellte, dass die meisten Innentüren verriegelt waren und dass Aufzüge und Treppenhäuser Passcodes erforderten, würden die Verluste aus dem Einbruch minimiert.
Die Einschränkung von Benutzer- und Gruppenberechtigungen funktioniert auf die gleiche Weise. Nachdem ein Angreifer einen Endpunkt übernommen hat, denkt er vielleicht, dass er den Jackpot getroffen hat, aber sobald er eingeschränkte Berechtigungen entdeckt hat, wird er bald feststellen, dass er eine Wand getroffen hat.
Seitliche Bewegung ist eine wesentliche Technik für Cyberkriminelle. Durch die Überwachung und Einschränkung von Berechtigungen für Benutzer, Gruppen und Endpunkte können Sie diese Technik weitaus weniger effektiv machen.
Erfahren Sie in unserem vorherigen Beitrag, 5 Wege Tanium Impact hilft Unternehmen, sich vor lateralen Bewegungen bei Cyberangriffen zu schützen (öffnet sich in einer neuen Registerkarte).
