Laterálny pohyb (anglicky lateral movement) označuje fázu útoku, v ktorej sa útočník po získaní prvého prístupu presúva po vnútornej sieti z jedného zariadenia alebo účtu na ďalšie. Nejde mu o samotný prvý počítač, ale o to, čo je z neho dosiahnuteľné: servery, doménové radiče, zálohy či databázy.

V rámcoch opisujúcich správanie útočníkov, napríklad MITRE ATT&CK, má laterálny pohyb vlastnú kategóriu taktík. Ide o bežnú súčasť útokov ransomvérových skupín aj cielených kampaní.

Ako laterálny pohyb prebieha

Útočník najprv zisťuje, kde sa nachádza – aké účty, počítače a zdieľané priečinky vidí. Potom sa snaží získať ďalšie prihlasovacie údaje a použiť ich na iných systémoch. Typické postupy:

  • opätovné použitie hesiel alebo hashov hesiel získaných z pamäte kompromitovaného počítača,
  • vzdialená správa cez legitímne protokoly a nástroje (RDP, SMB, PowerShell), ktoré sa v sieti bežne vyskytujú,
  • zneužitie neopravenej zraniteľnosti na internom serveri,
  • využitie nadbytočných oprávnení alebo trust vzťahov medzi doménami.

Keďže útočník často používa rovnaké nástroje ako administrátori, jeho aktivitu je ťažké odlíšiť od bežnej prevádzky.

Prečo na tom záleží

Prvý prienik sa úplne vylúčiť nedá. Rozhodujúce je, ako ďaleko sa útočník z prvého bodu dostane. Ak sieť funguje ako jedna veľká otvorená miestnosť, kompromitácia jednej stanice môže viesť k ovládnutiu celej domény. Ak je rozdelená na oddelené časti, škoda zostane lokálna. Reťazce takýchto presunov sa analyzujú ako attack paths.

Ako laterálny pohyb obmedziť

  1. Segmentácia siete – oddeľte používateľské stanice, servery a správu infraštruktúry, aby medzi nimi neboli povolené zbytočné spojenia.
  2. Minimálne oprávnenia – administrátorské účty používajte len tam, kde je to nevyhnutné, a nie na bežných staniciach.
  3. MFA a podmienený prístup – sťažia zneužitie ukradnutých hesiel.
  4. Hardening a záplatovanie – vypnite staré protokoly a opravujte zraniteľnosti interných systémov.
  5. Monitoring – sledujte neobvyklé prihlásenia a vzdialené pripojenia.

Tieto opatrenia zodpovedajú princípom Zero Trust, ktoré PosAm opisuje v článku o systematickom posilňovaní kybernetickej odolnosti. Na úrovni koncových zariadení pomáha aj centrálna správa a zabezpečenie v rámci služby Modern End User Services.

Časté otázky

Zastaví laterálny pohyb antivírus?

Nie spoľahlivo. Útočník často využíva legitímne nástroje a platné účty, preto je potrebná kombinácia segmentácie, správy oprávnení a monitoringu.

Ako zistím, či je moja sieť náchylná na laterálny pohyb?

Pomôže posúdenie Active Directory, analýza oprávnení a sken infraštruktúry, ktoré ukážu, kadiaľ by sa útočník mohol presúvať.

Ak chcete zistiť, ako ďaleko by sa útočník vo vašej sieti dostal, ozvite sa PosAm a dohodnite si úvodné posúdenie.