Lateral Movement: Mối Đe Dọa Từ Người Dùng Hợp Pháp

Lateral Movement Là Gì?

Lateral Movement là quá trình mà kẻ tấn công sử dụng thông tin đăng nhập hợp lệ để truy cập vào mạng của bạn và lợi dụng quyền hạn của người dùng hợp pháp để phát hiện và khai thác các lỗ hổng. Sau khi vượt qua điểm vào, chúng di chuyển theo các đường ngang để tìm kiếm những liên kết yếu mà chúng có thể khai thác mà không gây nghi ngờ.

Lateral Movement Hoạt Động Như Thế Nào?

Người làm việc trên máy tính

Lateral Movement không phải là loại tấn công mạng thông thường. Kẻ xâm nhập sử dụng các kỹ thuật tiên tiến để giả mạo là người dùng hợp lệ. Để đạt được mục tiêu của mình, chúng dành thời gian để nghiên cứu môi trường và xác định cách tốt nhất để tấn công.

Các giai đoạn của Lateral Movement bao gồm:

1. Thu Thập Thông Tin

Sự chuẩn bị kỹ lưỡng đóng vai trò quan trọng trong Lateral Movement. Kẻ tấn công thu thập nhiều thông tin nhất có thể về mục tiêu của họ để đưa ra quyết định có cơ sở. Mặc dù mọi người đều có thể bị tấn công, nhưng các kẻ tấn công không nhắm vào bất kỳ ai. Họ tập trung vào các mạng có thông tin giá trị cao vào mọi thời điểm.

Để xác định các thực thể đáng để họ bỏ công sức, kẻ tấn công theo dõi chặt chẽ họ qua nhiều kênh như mạng xã hội, kho lưu trữ trực tuyến và các nền tảng lưu trữ dữ liệu khác để xác định các lỗ hổng có thể khai thác.

2. Đánh Cắp Thông Tin Đăng Nhập

Sau khi có thông tin quan trọng về mục tiêu, kẻ tấn công bắt đầu hành động bằng cách truy cập vào hệ thống thông qua việc đánh cắp thông tin đăng nhập. Chúng sử dụng thông tin đăng nhập hợp lệ để lấy các thông tin nhạy cảm mà chúng có thể sử dụng chống lại bạn.

Để che giấu dấu vết, kẻ tấn công cấu hình hệ thống của bạn để không phát hiện ra sự xâm nhập của chúng. Sau khi hoàn thành, chúng tiếp tục hành vi trộm cắp mà không lo bị phát hiện.

3. Truy Cập Không Hạn Chế

Tại giai đoạn này, kẻ tấn công gần như trở thành người dùng hợp pháp của mạng của bạn. Với quyền hạn của người dùng hợp pháp, chúng bắt đầu truy cập và làm hỏng nhiều khu vực và công cụ trong mạng của bạn.

Thành công của Lateral Movement phụ thuộc vào quyền truy cập của chúng. Chúng nhắm đến việc có quyền truy cập không hạn chế để lấy được dữ liệu nhạy cảm nhất mà bạn lưu trữ ở những nơi ẩn. Sử dụng các công cụ như Server Message Block (SMB), những kẻ tội phạm mạng này không cần phải trải qua quá trình xác thực hay ủy quyền. Chúng di chuyển với ít hoặc không có sự cản trở.

Tại Sao Tội Phạm Mạng Sử Dụng Lateral Movement Để Tấn Công?

Hacker

Lateral Movement là kỹ thuật yêu thích của những kẻ tấn công có kỹ năng cao vì nó mang lại cho họ lợi thế trong quá trình tấn công. Lợi thế nổi bật nhất là nó có thể dễ dàng vượt qua sự phát hiện.

Sức mạnh là yếu tố phổ biến trong các cuộc tấn công mạng – các kẻ tấn công xâm nhập vào hệ thống bằng mọi cách. Nhưng điều đó không đúng trong Lateral Movement. Kẻ xâm nhập thực hiện việc hack để lấy thông tin đăng nhập hợp lệ của bạn và sau đó truy cập qua cửa chính như bất kỳ ai khác.

Những cuộc tấn công hiệu quả nhất là những cuộc tấn công được thực hiện với thông tin nội bộ vì những người bên trong hiểu rõ những chi tiết nhỏ. Trong Lateral Movement, hacker chuyển đổi thành người bên trong. Không chỉ truy cập vào mạng của bạn một cách hợp pháp, chúng còn di chuyển mà không bị phát hiện. Khi dành nhiều thời gian trong hệ thống của bạn, chúng hiểu được điểm mạnh và điểm yếu của nó và tìm ra cách tốt nhất để khai thác những điểm yếu đó.

Làm Thế Nào Để Ngăn Chặn Mối Đe Dọa Lateral Movement?

Mặc dù tính chất không gây nghi ngờ của các cuộc tấn công Lateral Movement, bạn vẫn có thể thực hiện một số biện pháp để ngăn chặn chúng. Các biện pháp này bao gồm:

Đánh Giá Bề Mặt Tấn Công

Để bảo vệ mạng của bạn một cách hiệu quả, bạn cần hiểu rõ các yếu tố bên trong nó, đặc biệt là tất cả các khu vực có thể thông qua đó một kẻ tấn công mạng có thể truy cập trái phép vào mạng của bạn. Những bề mặt tấn công này là gì và bạn có thể bảo vệ chúng như thế nào?

Việc trả lời những câu hỏi này sẽ giúp bạn chuyển hướng phòng thủ của mình một cách hiệu quả. Và một phần của điều đó bao gồm việc triển khai bảo mật điểm cuối để chống lại các mối đe dọa mới nổi trong các bề mặt tấn công của bạn.

Quản Lý Kiểm Soát Truy Cập và Quyền Hạn

Lateral Movement đặt ra câu hỏi về hoạt động của người dùng hợp pháp. Việc có thông tin đăng nhập hợp lệ không loại trừ khả năng người dùng tham gia vào các hoạt động độc hại. Với suy nghĩ đó, bạn cần triển khai các kiểm soát truy cập tiêu chuẩn để xác định mọi người dùng và thiết bị truy cập vào mạng của bạn.

Người dùng hợp pháp không nên có quyền truy cập không hạn chế vào tất cả các khu vực của mạng của bạn. Xây dựng một khung bảo mật không tin cậy và hệ thống quản lý danh tính để quản lý quyền truy cập của người dùng và các hoạt động họ thực hiện trong phạm vi quyền truy cập của họ.

Săn Lùng Các Mối Đe Dọa Mạng

Lateral Movement làm nổi bật tầm quan trọng của bảo mật chủ động. Bạn không cần phải đợi đến khi tình hình trở nên tồi tệ để bảo vệ hệ thống của mình bằng bảo mật phản ứng. Đến lúc đó, thiệt hại đã xảy ra.

Việc chủ động tìm kiếm các mối đe dọa mạng sẽ phát hiện ra các vectơ đe dọa ẩn trong Lateral Movement. Một nền tảng tình báo mối đe dọa tiên tiến có thể phát hiện ra các hoạt động Lateral Movement kín đáo nhất. Nó sẽ lấy đi sự xa xỉ của thời gian mà một kẻ tấn công Lateral Movement thường có để phát hiện và khai thác các lỗ hổng, từ đó phá hoại nỗ lực của chúng sớm hơn.

Đo Lường Hành Vi Người Dùng

Người sử dụng máy tính xách tay

Việc theo dõi và đo lường các hoạt động của những người dùng tưởng chừng như hợp pháp có thể giúp bạn ngăn chặn các mối đe dọa trước khi chúng leo thang. Những thay đổi đáng kể trong hành vi của người dùng có thể là do bị xâm nhập. Khi một người dùng cụ thể thực hiện các hoạt động mà họ thường không thực hiện, đó là một dấu hiệu bất thường mà bạn cần điều tra.

Hãy sử dụng các hệ thống giám sát bảo mật để ghi lại các hoạt động của người dùng trên mạng của bạn và đánh dấu các hành động đáng ngờ. Sử dụng công nghệ học máy và trí tuệ nhân tạo hành vi, một số hệ thống này có thể phát hiện Lateral Movement theo thời gian thực, cho phép bạn giải quyết các mối đe dọa này một cách nhanh chóng.

Tự Động Hóa và Điều Phối Phản Ứng

Lateral Movement hoạt động dựa trên công nghệ tiên tiến. Để phát hiện và giải quyết nó một cách hiệu quả, bạn cần điều phối và tự động hóa kế hoạch phản ứng sự cố của mình. Điều phối giúp sắp xếp các phòng thủ của bạn trong khi tự động hóa tăng tốc độ phản ứng.

Việc triển khai một hệ thống điều phối, tự động hóa và phản ứng bảo mật (SOAR) hiệu quả là cần thiết để tinh chỉnh phản ứng của bạn và ưu tiên các cảnh báo mối đe dọa. Nếu bạn không làm điều này, bạn có thể bị mệt mỏi khi phản ứng với các cảnh báo vô hại hoặc giả.