Il y a quelques ann\u00e9es \u00e0 peine, le mouvement lat\u00e9ral \u00e9tait une tactique r\u00e9serv\u00e9e aux principales organisations de cybercriminalit\u00e9 de l’APT et aux op\u00e9rateurs des \u00c9tats-nations. Aujourd’hui, cependant, il est devenu un outil banalis\u00e9, bien dans les comp\u00e9tences de tout acteur de menace de ransomware. Cela fait de la d\u00e9tection et de la pr\u00e9vention en temps r\u00e9el des mouvements lat\u00e9raux une n\u00e9cessit\u00e9 pour les organisations de toutes tailles et dans tous les secteurs. Mais la v\u00e9rit\u00e9 troublante est qu’il n’y a en fait aucun outil dans la pile de s\u00e9curit\u00e9 actuelle qui puisse fournir cette protection en temps r\u00e9el, cr\u00e9ant ce qui est sans doute la faille de s\u00e9curit\u00e9 la plus critique dans l’architecture de s\u00e9curit\u00e9 d’une organisation. <\/p>\n
Dans cet article, nous allons passer en revue les questions les plus essentielles concernant le d\u00e9fi de la protection contre les mouvements lat\u00e9raux, comprendre pourquoi l’authentification multifacteur (MFA) et la protection des comptes de service sont les lacunes qui la rendent possible, et apprendre comment la plate-forme de Silverfort renverse la situation des attaquants. et rend la protection contre les mouvements lat\u00e9raux enfin \u00e0 port\u00e9e de main.<\/p>\n
Webinaire \u00e0 venir\u00a0:<\/b> Si vous souhaitez en savoir plus sur le mouvement lat\u00e9ral et comment le pr\u00e9venir en temps r\u00e9el, nous vous invitons \u00e0 inscrivez-vous \u00e0 notre prochain webinaire<\/a><\/b>. Des experts de l’industrie partageront des informations pr\u00e9cieuses sur le sujet et r\u00e9pondront \u00e0 toutes vos questions.<\/p><\/blockquote>\n
Pr\u00eat? Commen\u00e7ons.<\/p>\n
Pourquoi le mouvement lat\u00e9ral est-il un risque critique pour une organisation\u00a0?<\/strong><\/h2>\n
Le mouvement lat\u00e9ral est l’\u00e9tape o\u00f9 la compromission d’un point de terminaison unique devient la compromission de postes de travail et de serveurs suppl\u00e9mentaires dans l’environnement cibl\u00e9. C’est la diff\u00e9rence entre une seule machine chiffr\u00e9e et un \u00e9ventuel arr\u00eat op\u00e9rationnel. Le mouvement lat\u00e9ral est utilis\u00e9 dans plus de 80 % des attaques de ransomwares, ce qui en fait un risque pour chaque organisation dans le monde pr\u00eate \u00e0 payer pour racheter ses donn\u00e9es aux attaquants.<\/p>\n
Alors, comment fonctionne r\u00e9ellement le mouvement lat\u00e9ral ?<\/strong><\/h2>\n
C’est en fait assez simple. Contrairement aux logiciels malveillants, qui se pr\u00e9sentent sous de nombreuses formes diff\u00e9rentes, le processus de d\u00e9placement lat\u00e9ral est simple. Dans un environnement organisationnel, chaque utilisateur connect\u00e9 \u00e0 un poste de travail ou \u00e0 un serveur peut acc\u00e9der \u00e0 des machines suppl\u00e9mentaires dans cet environnement en ouvrant une invite de ligne de commande et en tapant une commande de connexion, ainsi que son nom d’utilisateur et son mot de passe. Cela signifie que tout ce qu’un adversaire doit faire pour se d\u00e9placer lat\u00e9ralement est de mettre la main sur un nom d’utilisateur et un mot de passe valides. Une fois obtenues, l’attaquant peut alors utiliser ces informations d’identification compromises pour acc\u00e9der aux ressources comme s’il s’agissait d’un utilisateur l\u00e9gitime.<\/p>\n
Cela semble simple, alors pourquoi est-ce difficile \u00e0 pr\u00e9venir\u00a0?<\/strong><\/h2>\n
Aussi surprenant que cela puisse para\u00eetre, il n’y a en fait aucun outil dans la pile d’identit\u00e9 ou de s\u00e9curit\u00e9 qui peut d\u00e9tecter et emp\u00eacher les mouvements lat\u00e9raux en temps r\u00e9el<\/strong>. En effet, ce qui est requis, c’est la capacit\u00e9 d’intercepter l’authentification elle-m\u00eame, o\u00f9 l’attaquant fournit les informations d’identification compromises \u00e0 Active Directory (AD). Malheureusement, AD – en tant que logiciel h\u00e9rit\u00e9 – n’est capable que d’un seul contr\u00f4le de s\u00e9curit\u00e9\u00a0: si le nom d’utilisateur et le mot de passe correspondent. S’ils le font, l’acc\u00e8s est accord\u00e9 ; sinon, l’acc\u00e8s est refus\u00e9. AD n’a pas la capacit\u00e9 de faire la diff\u00e9rence entre une authentification l\u00e9gitime et une authentification malveillante, seulement la capacit\u00e9 de valider les informations d’identification fournies.<\/p>\n
Mais l’AMF ne devrait-elle pas \u00eatre en mesure de r\u00e9soudre ce probl\u00e8me\u00a0?<\/strong><\/h2>\n
En th\u00e9orie. Mais voici le probl\u00e8me\u00a0: vous vous souvenez de la fen\u00eatre de ligne de commande mentionn\u00e9e pr\u00e9c\u00e9demment sur la fa\u00e7on dont le mouvement lat\u00e9ral est ex\u00e9cut\u00e9\u00a0? Devinez quoi. L’acc\u00e8s \u00e0 la ligne de commande est bas\u00e9 sur deux protocoles d’authentification (NTLM et Kerberos) qui ne prennent pas en charge MFA. Ces protocoles ont \u00e9t\u00e9 \u00e9crits bien avant que la MFA n’existe. Et par “ne prend pas en charge”, nous entendons ici que vous ne pouvez pas ajouter au processus d’authentification une \u00e9tape suppl\u00e9mentaire qui dit, “ces informations d’identification sont valides mais attendons que l’utilisateur v\u00e9rifie son identit\u00e9”. C’est ce manque de protection MFA dans l’environnement AD – un angle mort cl\u00e9 – qui permet aux attaques par mouvement lat\u00e9ral de continuer \u00e0 se produire.<\/strong><\/p>\n
\u00c0 ce stade, vous vous demandez peut-\u00eatre pourquoi en 2023 nous utilisons encore une technologie d’il y a plus de 20 ans qui ne prend pas en charge une mesure de s\u00e9curit\u00e9 de base telle que MFA. Vous avez raison de poser cette question, mais pour le moment, ce qui est plus important, c’est le fait que c’est la r\u00e9alit\u00e9 dans pr\u00e8s de 100 % des environnements, y compris le v\u00f4tre. C’est pourquoi il est essentiel de comprendre ces implications en mati\u00e8re de s\u00e9curit\u00e9.<\/p>\n
\nLa cr\u00e9ation de politiques MFA faciles \u00e0 mettre en \u0153uvre pour tous vos comptes privil\u00e9gi\u00e9s est le seul moyen de s’assurer qu’ils ne sont pas compromis. Sans avoir besoin de personnalisations ou de d\u00e9pendances de segmentation du r\u00e9seau, vous pouvez \u00eatre op\u00e9rationnel en quelques minutes avec Silverfort. D\u00e9couvrez comment prot\u00e9ger vos comptes privil\u00e9gi\u00e9s<\/b><\/a> de compromis rapidement et en toute transparence gr\u00e2ce \u00e0 des politiques d’acc\u00e8s adaptatives qui appliquent aujourd’hui la protection MFA sur toutes les ressources sur site et dans le cloud.<\/p>\n<\/div>\n
<\/strong><\/h2>\nN’oublions pas les comptes de service – invisibles, hautement privil\u00e9gi\u00e9s et presque impossibles \u00e0 prot\u00e9ger<\/strong><\/h2>\n
Pour ajouter une autre dimension au d\u00e9fi de la protection contre les mouvements lat\u00e9raux, gardez \u00e0 l’esprit que tous les comptes ne sont pas cr\u00e9\u00e9s \u00e9gaux. Certains d’entre eux sont mat\u00e9riellement plus sensibles aux attaques que d’autres. Les comptes de service, utilis\u00e9s pour l’acc\u00e8s de machine \u00e0 machine, en sont un excellent exemple. Ces comptes ne sont associ\u00e9s \u00e0 aucun utilisateur humain, ils sont donc moins surveill\u00e9s et parfois m\u00eame oubli\u00e9s par l’\u00e9quipe informatique. Mais ils ont g\u00e9n\u00e9ralement des privil\u00e8ges d’acc\u00e8s \u00e9lev\u00e9s et peuvent acc\u00e9der \u00e0 la plupart des machines de l’environnement. Cela en fait une cible de compromis attrayante pour les acteurs de la menace, qui les utilisent chaque fois qu’ils le peuvent. Ce manque de visibilit\u00e9 et de protection des comptes de services est le deuxi\u00e8me angle mort sur lequel s’appuient les acteurs du mouvement lat\u00e9ral<\/strong>. <\/p>\n
Silverfort permet une protection en temps r\u00e9el contre les mouvements lat\u00e9raux<\/strong><\/h2>\n
Silverfort<\/a><\/b> lance la premi\u00e8re plate-forme de protection unifi\u00e9e de l’identit\u00e9 capable d’\u00e9tendre la MFA \u00e0 n’importe quelle ressource, qu’elle prenne en charge nativement la MFA ou non. Utilisant une technologie sans agent et sans proxy, Silverfort s’int\u00e8gre directement \u00e0 AD. Avec cette int\u00e9gration, chaque fois qu’AD re\u00e7oit une demande d’acc\u00e8s, il la transmet \u00e0 Silverfort. Silverfort analyse ensuite la demande d’acc\u00e8s et, si n\u00e9cessaire, d\u00e9fie l’utilisateur avec MFA. Sur la base de la r\u00e9ponse de l’utilisateur, Silverfort d\u00e9termine s’il doit ou non faire confiance \u00e0 l’utilisateur et transmet le verdict \u00e0 AD qui accorde ou refuse l’acc\u00e8s si n\u00e9cessaire. <\/p>\n
Emp\u00eacher le mouvement lat\u00e9ral \u00e0 la racine #1 : Extension de MFA \u00e0 l’acc\u00e8s en ligne de commande <\/strong><\/h3>\n
Silverfort peut appliquer la protection MFA \u00e0 n’importe quel outil d’acc\u00e8s en ligne de commande – PsExec, Remote PowerShell, WMI et tout autre. Avec une politique MFA activ\u00e9e, si un attaquant tente d’effectuer un mouvement lat\u00e9ral via la ligne de commande, Silverfort enverra une invite MFA \u00e0 l’utilisateur r\u00e9el, lui demandant de v\u00e9rifier s’il a initi\u00e9 cette tentative d’acc\u00e8s. Lorsque l’utilisateur nie cela, l’acc\u00e8s est bloqu\u00e9, ce qui laisse l’attaquant perplexe quant \u00e0 la raison pour laquelle une m\u00e9thode qui a parfaitement fonctionn\u00e9 dans le pass\u00e9 s’est maintenant heurt\u00e9e \u00e0 un mur de briques. <\/p>\n
Emp\u00eacher les mouvements lat\u00e9raux \u00e0 la racine #2\u00a0: Visibilit\u00e9 et protection automatis\u00e9es des comptes de service <\/strong><\/h3>\n
Bien que les comptes de service ne puissent pas \u00eatre soumis \u00e0 la protection MFA (en tant qu’utilisateurs non humains, ils ne peuvent pas confirmer leur identit\u00e9 avec une notification par t\u00e9l\u00e9phone portable), ils peuvent toujours \u00eatre prot\u00e9g\u00e9s. En effet, les comptes de service (contrairement aux utilisateurs humains) affichent un comportement hautement r\u00e9p\u00e9titif et pr\u00e9visible. Silverfort en tire parti en automatisant la cr\u00e9ation de politiques pour chaque compte de service. Lorsqu’ils sont activ\u00e9s, ils peuvent envoyer une alerte ou bloquer compl\u00e8tement l’acc\u00e8s au compte de service chaque fois qu’une activit\u00e9 standard d\u00e9viante est d\u00e9tect\u00e9e. L’utilisation malveillante d’un compte de service compromis cr\u00e9e in\u00e9vitablement une d\u00e9viation car m\u00eame si l’attaquant dispose des informations d’identification du compte de service, il ne conna\u00eetrait pas l’utilisation standard du compte. Le r\u00e9sultat serait que toute tentative d’utilisation d’un compte de service compromis pour un mouvement lat\u00e9ral serait stopp\u00e9e net. <\/p>\n
Consid\u00e9rez-vous le mouvement lat\u00e9ral comme un risque que vous devez g\u00e9rer\u00a0? Programmer un appel<\/a> avec l’un de nos experts.<\/b><\/p>\n
<\/p>\n