TA0008 Mouvement latéral : passer d’une machine à la suivante

Onzième tactique de la matrice ATT&CK Enterprise, et l’une des plus courtes avec neuf techniques, ce qui ne mesure pas son importance. L’objectif, selon le MITRE : l’adversaire cherche à se déplacer dans votre environnement. La définition précise que la poursuite de l’objectif principal exige souvent d’explorer le réseau pour trouver sa cible, puis d’y accéder.

→ Lire l’explication complète de la marmotte

L’objectif de l’attaquant

Atteindre la machine qui compte. La machine d’entrée est presque toujours sans intérêt : un poste bureautique, un serveur web en zone exposée, un conteneur applicatif. Ce que l’attaquant veut se trouve ailleurs : contrôleur de domaine, serveur de fichiers, base de données, console de sauvegarde, poste d’administration.

Une remarque d’ordre défensif s’impose d’emblée : cette tactique est la seule de la matrice dont le succès dépend presque entièrement de l’architecture et non de la vigilance. Un réseau plat se traverse avec des identifiants valides et les outils du système ; un réseau cloisonné oppose à chaque saut un contrôle que l’attaquant doit franchir, et dont l’échec se journalise. Le site y consacre une page entière : comment limiter le mouvement latéral après compromission.

Les techniques, et ce qu’elles couvrent

Se connecter comme un administrateur. T1021 (services distants) est la technique dominante, et elle couvre les protocoles d’administration légitimes : bureau à distance, partage de fichiers, gestion à distance, SSH. Rien n’est exploité, rien n’est cassé : on se connecte avec des identifiants obtenus à l’étape précédente.

Réutiliser une preuve d’authentification plutôt qu’un mot de passe. T1550 (utiliser un matériel d’authentification alternatif) regroupe le rejeu d’empreintes, de tickets et de jetons. C’est la technique qui rend le mouvement latéral si économique en environnement Active Directory : on ne connaît pas le mot de passe, on présente ce que le protocole accepte à sa place. Le site traite le mécanisme dans Kerberos et KDC dans Active Directory, et sa variante par relais dans l’attaque par relais NTLM. T1563 (détournement de session de service distant) va plus loin : on ne s’authentifie même pas, on s’installe dans une session déjà ouverte par un administrateur.

Exploiter. T1210 (exploitation de services distants) est la voie qui ne demande aucun identifiant : une vulnérabilité dans un service interne, c’est-à-dire dans un parc où l’on applique les correctifs plus lentement parce qu’il n’est « pas exposé ». C’est le mécanisme de propagation de WannaCry, qui reste l’illustration la plus coûteuse de cette hypothèse.

Se faire porter par l’informatique elle-même. T1072 (outils de déploiement logiciel) est la technique la plus dévastatrice de la liste : le système qui distribue les logiciels à tout le parc possède, par conception, un accès administrateur sur toutes les machines. En prendre le contrôle revient à obtenir le parc entier, en une opération parfaitement légitime du point de vue des journaux.

Faire venir la victime. T1534 (hameçonnage interne) emploie un compte déjà compromis pour écrire aux collègues : le message vient d’une adresse interne, dans un fil de discussion existant, et aucun filtre ne l’arrête. T1080 (contaminer un contenu partagé) place un fichier piégé dans un répertoire commun et attend. T1091 (supports amovibles) reste le vecteur des environnements isolés.

Transporter ses outils. T1570 (transfert latéral d’outils) décrit la copie d’un outil d’une machine compromise vers la suivante, souvent par les partages administratifs : l’un des rares gestes de la tactique qui laisse un fichier derrière lui.

Ce qu’on peut détecter, et par quoi

La difficulté est connue : tout ce que fait l’attaquant à cette étape, un administrateur le fait aussi. La détection repose donc sur des relations, pas sur des actes.

Les connexions entre machines qui ne se parlent jamais. Un poste bureautique qui ouvre une session d’administration sur un autre poste bureautique n’a presque aucune justification. C’est le signal le plus net de la tactique, et il demande de connaître les flux normaux : c’est-à-dire d’avoir une référence, pas un outil.

Les refus de la segmentation. Chaque tentative bloquée par une politique réseau est un événement à forte valeur, parce qu’elle signale une machine qui cherche à faire quelque chose de nouveau. Dans un cluster, c’est ce que produisent les NetworkPolicy Kubernetes ; sur le réseau d’entreprise, le filtrage, la segmentation et le NAC.

L’usage d’un compte en dehors de son périmètre habituel. Un compte de service qui se connecte à une machine où il n’a jamais ouvert de session, un compte d’administrateur local employé simultanément sur quinze postes : ces anomalies se lisent dans les journaux d’authentification, par comparaison à l’historique.

Les sessions d’administration détournées. Une session ouverte depuis plusieurs jours sur un serveur, active à des heures inhabituelles, mérite une question. Les enregistrements de sessions privilégiées (Vault PAM et l’enregistrement des sessions d’administration) donnent ici une visibilité que les journaux seuls n’offrent pas.

Les outils déposés. Le transfert latéral laisse des exécutables dans des emplacements inhabituels, et c’est l’un des cas où l’EDR est le plus efficace.

Ce que le défenseur peut faire

Cloisonner, parce que c’est la seule mesure qui change la nature du problème. Interdire les communications directes entre postes de travail ; isoler les serveurs par fonction ; n’autoriser les protocoles d’administration que depuis des postes d’administration dédiés. C’est l’objet de la séparation du plan de contrôle et du plan de données.

Supprimer les identifiants réutilisables à l’échelle du parc. Un même mot de passe d’administrateur local sur toutes les machines transforme une compromission en compromission générale ; des mots de passe locaux uniques et gérés automatiquement coupent la propagation.

Traiter le système de déploiement logiciel comme un actif critique, au même niveau qu’un contrôleur de domaine : accès restreint, authentification forte, journalisation surveillée. Il est généralement administré par l’équipe de production et absent des revues de sécurité.

Appliquer les correctifs à l’intérieur aussi. L’hypothèse « ce service n’est pas exposé » n’a plus cours une fois l’attaquant dans le réseau, et c’est précisément le moment où elle est testée.

Surveiller la messagerie interne. L’hameçonnage interne échappe aux filtres de bordure ; seule une analyse des messages internes, ou le signalement par les destinataires, le détecte.

Sources

TA0008, Lateral Movement, MITRE ATT&CK Enterprise v20 : objectif et neuf techniques.
Jeu de données STIX Enterprise ATT&CK 19.2 : identifiants et périmètre des techniques citées.

🐝 Ce qui arrive si on s’en passe

Une organisation dont le réseau est plat accorde à chaque machine la capacité de parler à toutes les autres, ce qui revient à faire de n’importe quelle compromission une compromission potentiellement totale. Le poste du stagiaire et le serveur de sauvegarde sont alors à un saut l’un de l’autre, et le saut s’effectue avec des identifiants valides, par des protocoles d’administration légitimes, sans produire une seule alerte. Le coût se mesure en rançongiciel : la différence entre une organisation qui perd trois serveurs et une qui perd l’ensemble de son informatique ne tient presque jamais à la qualité de sa détection, mais à l’existence de barrières internes. Et lorsque le système de déploiement logiciel est atteint (ce qui arrive parce que personne ne le considère comme un actif de sécurité), le chiffrement du parc se fait en une opération, par le mécanisme même prévu pour installer les mises à jour.

🦫 Explication de la marmotte 🍫

Un attaquant entre rarement directement là où se trouve ce qu’il veut. Il entre par le poste d’un employé, ou par un serveur accessible depuis Internet, puis doit se déplacer jusqu’aux machines qui comptent : celles qui contiennent les fichiers, les bases de données, ou qui commandent toutes les autres. C’est l’étape appelée mouvement latéral.

Pour se déplacer, il n’a généralement besoin d’aucune technique sophistiquée. Il utilise les outils d’administration normaux (bureau à distance, partage de fichiers, connexion sécurisée) avec les mots de passe ou les laissez-passer qu’il a volés à l’étape précédente. Du point de vue des journaux informatiques, cela ressemble exactement au travail d’un administrateur.

Deux raccourcis méritent d’être connus. Le premier consiste à réutiliser non pas le mot de passe, mais la preuve qu’on l’a fourni : dans les réseaux d’entreprise Windows, certains protocoles acceptent cette preuve à la place du mot de passe, ce qui permet de se connecter sans jamais le connaître. Le second consiste à prendre le contrôle du système qui distribue les logiciels à toutes les machines : par construction, il a les droits d’administration partout, et s’en servir pour installer autre chose est une opération légitime.

C’est la seule étape de l’attaque où la protection ne dépend pas de la vigilance des personnes, mais de la construction du réseau. Dans un réseau où toutes les machines peuvent se parler, le déplacement est immédiat et invisible. Dans un réseau découpé en zones, où les postes de travail ne communiquent pas entre eux et où l’administration ne se fait que depuis des machines dédiées, chaque déplacement se heurte à une barrière : et chaque barrière refusée produit une trace, qui est l’un des signaux les plus fiables dont dispose une équipe de sécurité.

Pages voisines

La citent

CICD-SEC-5 : contrôles d'accès du pipeline insuffisants

TA0008 Mouvement latéral : passer d'une machine à la suivante

Elle cite

: les deux pages se citent l’une l’autre.