Immaginate un ladro che si introduce in un edificio adibito a uffici. Sforza una finestra, si infila all’interno e si ritrova in una stanzetta con una scrivania e degli schedari. L'edificio adibito a uffici è di per sé molto vasto. La stanza in cui è atterrato il ladro è solo una delle centinaia.
Quel ladro limiterà forse la sua ricerca di bottino alla sola stanza in cui si trova in questo momento? Certo che no. Si aggirerà per quanto più possibile all’interno dell’edificio, alla ricerca degli oggetti di maggior valore che riuscirà a trovare senza farsi scoprire.
I criminali informatici agiscono allo stesso modo. Essi utilizzano le informazioni presenti sui computer compromessi per compromettere e ottenere l’accesso ad altri account e computer, una tecnica nota come “movimento laterale” ( ) (si apre in una nuova scheda).
Che cos’è il movimento laterale in rete?
Gli autori degli attacchi ottengono l'accesso a un singolo endpoint e compiono su di esso qualsiasi tipo di azione dannosa possibile. Successivamente, si dedicano all’esplorazione, cercando di individuare quali altri endpoint e sistemi siano accessibili a quel primo endpoint o al suo utente.
Effettuano una scansione del sito endpoint , che è stato compromesso, alla ricerca delle credenziali relative alle applicazioni e ad altri endpoint. Utilizzando qualsiasi credenziale riescano a reperire, si spostano furtivamente da endpoint a endpoint, da un dispositivo all’altro.
Se il loro obiettivo è quello di introdurre malware, come ad esempio un ransomware, probabilmente lo faranno su ogni sito endpoint a cui riescono ad accedere. Se il loro obiettivo è sottrarre informazioni, probabilmente manterranno un profilo basso e cercheranno endpoint contenenti qualsiasi informazione che ritengano preziosa. Tali informazioni potrebbero riguardare i dati dei clienti, le coordinate bancarie o la proprietà intellettuale.
L'entità dei danni causati da un attacco dipende dalla libertà di movimento di cui l'autore dell'attacco dispone all'interno della rete. Limitando i movimenti laterali, limiterete notevolmente i danni che un aggressore può causare.
Per limitare il movimento laterale, è utile comprenderne il funzionamento.
Il movimento laterale dipende dalle autorizzazioni concesse a utenti, gruppi ed endpoint
Supponiamo che un malintenzionato abbia ottenuto l’accesso a un’ endpointe, che potrebbe essere un personal computer (PC), un server Mac o un server Linux . È possibile che il dipendente responsabile di tale sito endpoint abbia cliccato su un messaggio di phishing e abbia scaricato inavvertitamente un malware. Oppure, forse, l’autore dell’attacco ha utilizzato alcune combinazioni di nome utente e password rubate per accedere al sito endpoint.
In un modo o nell’altro, l’autore dell’attacco ha effettuato l’accesso ed è ora attivo su quel sito iniziale endpoint. Le azioni che l'autore dell'attacco potrà intraprendere a quel punto dipendono in larga misura dai permessi di cui dispone l'account che è stato compromesso.
Come funziona il movimento laterale in rete
Supponiamo che l’autore dell’attacco abbia ottenuto l’accesso al portatile di Jim e abbia effettuato l’accesso tramite l’account utente standard di Jim. Jim dispone inoltre dell’accesso all’account amministratore del proprio portatile, pertanto l’autore dell’attacco utilizza l’account utente di Jim per effettuare l’accesso come amministratore.
In qualità di amministratore, l’autore dell’attacco ha il pieno controllo del portatile di Jim. È molto probabile che l’account amministratore disponga di autorizzazioni per accedere anche ad altri endpoint, poiché i reparti IT spesso creano account amministrativi condivisi tra diversi endpoint.
A questo punto, utilizzando l’account amministratore, l’autore dell’attacco può passare dal portatile di Jim al computer fisso di Sarah. Se Sarah fa parte di un gruppo di utenti per altri endpoint, l’autore dell’attacco può effettuare l’accesso come Sarah e utilizzare le autorizzazioni di tale gruppo per accedere a tutti gli endpoint accessibili a quel gruppo.
Se un malintenzionato si accorge che Luis ha effettuato l’accesso su uno di tali endpoint, potrebbe utilizzare un malware per leggere le credenziali di accesso di Luis dalla memoria dell’ endpoint. In tal caso, l’autore dell’attacco può accedere a qualsiasi endpoint a cui possano accedere Luis o qualsiasi gruppo di cui Luis faccia parte. Se Luis dispone dei permessi per l'account amministratore del dominio Windows (si apre in una nuova scheda) , l'autore dell'attacco può utilizzare tale account per accedere a tutti i computer Windows dell'azienda.
Account dopo account, endpoint dopo endpoint, gli autori degli attacchi si muovono all’interno della rete in questo modo furtivo. Potrebbero muoversi lentamente nell’arco di molte ore o giorni per evitare di attirare l’attenzione sul proprio lavoro. Oppure potrebbero muoversi più rapidamente, nella speranza di attraversare la rete il più possibile prima che il reparto IT rilevi la loro attività e intervenga per fermarli.
Migliori pratiche per prevenire il movimento laterale
Poiché gli autori degli attacchi si avvalgono delle autorizzazioni degli utenti e dei gruppi per muoversi all’interno delle reti, una delle migliori pratiche consiste nel limitare tali autorizzazioni.
È importante comprendere quali autorizzazioni relative a utenti e gruppi siano già state definite. Molte organizzazioni IT ritengono di sapere come siano state configurate le autorizzazioni per utenti e gruppi, ma le verifiche delle autorizzazioni effettive rivelano spesso delle sorprese.
Ad esempio, in un’azienda, la configurazione predefinita delle autorizzazioni ha accidentalmente concesso a tutti gli utenti l’accesso a un account amministratore. Pertanto, ogni utente aveva il controllo su tutti gli endpoint dell'azienda.
Pertanto, vi preghiamo di ricontrollare. Verifichi le autorizzazioni degli utenti e dei gruppi in modo da comprendere appieno quali rischi sussistano nelle impostazioni relative alle autorizzazioni della Sua organizzazione.
Limitazione delle autorizzazioni di utenti e gruppi
Successivamente, limiti il più possibile le autorizzazioni degli utenti e dei gruppi. Conceda agli utenti solo le autorizzazioni di cui hanno bisogno per svolgere il proprio lavoro. Limitare l’accesso ad altri utenti, gruppi e endpoint rende molto più difficile per gli autori degli attacchi spostarsi da un account all’altro, anche qualora riuscissero a prendere il controllo di un account endpoint.
Ripensate al nostro esempio del ladro che si introduce in un edificio. Se il ladro scoprisse che la maggior parte delle porte interne è chiusa a chiave e che per accedere agli ascensori e alle scale è necessario inserire un codice di accesso, le perdite derivanti dall’effrazione sarebbero ridotte al minimo.
La limitazione delle autorizzazioni per utenti e gruppi funziona allo stesso modo. Dopo aver preso il controllo di un endpoint, un malintenzionato potrebbe pensare di aver fatto centro, ma una volta scoperte le autorizzazioni limitate, si renderà presto conto di aver raggiunto un punto morto.
Il movimento laterale è una tecnica fondamentale per i criminali informatici. Monitorando e limitando le autorizzazioni per utenti, gruppi ed endpoint, è possibile rendere tale tecnica molto meno efficace.
Scoprite di più su come l’ Tanium possa aiutare la vostra organizzazione a difendersi dai movimenti laterali nel nostro precedente articolo, 5 modi in cui Tanium Impact aiuta le aziende a proteggersi dai movimenti laterali negli attacchi informatici (si apre in una nuova scheda).
