Mouvement latéral
lateral movement · déplacement latéral · propagation interne · pivot
Ensemble des techniques qu’un attaquant utilise pour passer d’une première machine compromise aux autres machines du réseau, jusqu’à atteindre ses véritables cibles.
En pratique
Le premier poste infecté intéresse rarement l’attaquant : il vise les serveurs de fichiers, la sauvegarde, la paie, le contrôleur de domaine. Il réutilise pour cela des identifiants volés et des outils d’administration légitimes, ce qui rend ses déplacements difficiles à distinguer du travail normal des équipes informatiques. Cette phase peut durer des jours : c’est souvent là que l’attaque peut encore être stoppée, avant le chiffrement ou le vol massif de données.
Cas fictif : un comptable ouvre une pièce jointe piégée un vendredi. Pendant le week-end, l’attaquant récupère un compte du support informatique resté ouvert sur le poste, puis atteint le serveur de fichiers et la console de sauvegarde. Lundi, tout est chiffré, sauvegardes comprises. Segmentation et comptes d’administration séparés l’auraient arrêté dès la deuxième étape.
Comment s’en protéger
- Segmenter le réseau et filtrer les flux entre postes de travail : un poste n’a aucune raison de se connecter à un autre poste.
- Cloisonner les comptes d’administration par niveaux, selon le modèle en tiers que l’ANSSI recommande pour Active Directory.
- Déployer un EDR et surveiller les connexions inhabituelles entre machines, surtout la nuit et le week-end.
- Exiger le MFA pour l’administration et réserver les outils d’administration à distance à des postes dédiés.
