横向(什么是横向运动？)

什么是横向运动？

横向移动是攻击者在破坏端点后使用的一种技术，用于扩展对组织中其他主机或应用程序的访问。横向移动有助于对手在网络中保持持久性并更接近有价值的资产。它还可以允许对手获得对管理员计算机以及与之相关的权限和数据的控制。

攻击者的主要目标是访问有价值或敏感的信息并秘密地泄露或销毁它，同时尽可能长时间地不被发现。在最初的妥协之后，攻击者将了解网络拓扑、窃取凭证，并通过访问更多系统和敏感数据进行横向移动。

由于攻击者希望隐藏在雷达之下，因此他们通常会避免已知的恶意软件和漏洞，这些恶意软件和漏洞会触发基于签名的入侵警报。相反，他们会尝试窃取或猜测密码，然后登录远程计算机或升级权限。通常，他们“生活在陆地上”，使用主机系统上已安装的良性进程和工具来进一步进行攻击。例如，他们可能使用 PowerShell、Windows Management Instrumentation (WMI) 和 PsExec 来执行网络发现和横向移动。离地 (LOL) 攻击通常称为无文件攻击，因为攻击者不使用传统的恶意软件文件。恶意软件也可以用于这种攻击技术。然而，当恶意行为者实施更高级的威胁时，他们通常依靠管理工具和其他“非恶意软件”来扩大其影响范围，同时避免被发现。

成功策划有针对性的攻击需要规划和坚持。资源充足的攻击者通常可以找到渗透目标组织的方法，即使这意味着首先通过个人帐户瞄准网络外的个人。但最初的利用只是一个开始。然后，威胁行为者必须规划出组织的网络，横向移动到其他设备，访问所需的服务器或数据，然后窃取、操纵、破坏或劫持这些所需的资源。

根据MITRE ATT&CK 框架：

“横向移动包括使对手能够访问和控制网络上的远程系统的技术，并且可以（但不一定）包括在远程系统上执行工具。横向移动技术可以允许对手从系统中收集信息，而无需需要额外的工具，例如远程访问工具。”

检测横向运动

横向移动即使不是不可能，也很难让预防控制装置自动阻止。早期检测是阻止横向移动的重要策略。检测它所需的时间越长，造成的损害就越大，从而导致调查和恢复成本更高。

即使收集了发现横向流动所需的必要数据，传统的问题还是正确使用它。安全事件和事件管理 (SIEM) 等工具可以规范和关联数据，但它们更适合检测明显的网络攻击。它们也非常适合分析活动或准确检测与横向运动相关的异常。因此，它们的关联规则会引发太多警报，而大多数警报最终都会被团队忽略。

行为分析是发现横向移动攻击的最简单方法。第一步是收集关键数据并将其拼接在一起，包括网络、端点、云和身份数据。使用行为分析和机器学习，安全工具可以分析用户和设备活动，以识别管理员、标准用户、端点和服务器。分析还可以识别哪些用户与哪些应用程序和设备关联。根据此信息，安全工具可以检测充当管理员的普通用户，或者其凭据被滥用于意外管理访问的管理人员。

威胁参与者还可能通过在网络文件共享上安装恶意代码或操纵计算机登录脚本来危害主机。网络安全团队可以通过查找凭据滥用和过多的失败登录来检测这些技术。如果多个设备共享相同的凭据，或者单个设备在短时间内从不同的帐户登录网络资源，则可能正在进行攻击。如果普通用户表现出管​理行为，例如管理远程计算机，则该用户的计算机可能会受到威胁。

通过扩展检测和响应 (XDR) 阻止攻击

XDR平台经过独特设计，可在攻击者穿过受感染网络时快速准确地识别他们。XDR解决方案吸收最广泛的数据（包括网络、端点、云和身份数据）并构建用户和设备行为的配置文件。然后，他们根据对手活动必然引入的行为异常来检测主动攻击者，无论他们处于攻击的哪个阶段。

XDR解决方案监控内部网络流量和端点事件，并分析内部、主机到主机、通信、应用程序使用、文件共享使用、凭据使用、管理行为、可执行文件和进程流行等的正常模式。他们还可以检测常见的凭证盗窃工具（如 Mimikatz）和黑客技术（如“传递哈希”）。

XDR 解决方案通过检测连接模式、端口和协议使用、应用程序使用、文件共享使用、凭据使用和登录失败等方面的异常，在攻击者执行“东西向”侦察和横向移动时识别攻击者。这些异常与原始端点进程相关。XDR 解决方案使用行为检测和威胁情报将进程分类为已知或未知恶意软件、风险软件或合法应用程序。他们还监控用户活动，例如用户登录事件，了解用户通常位于世界上的哪个位置、他们通常访问哪些应用程序、他们拥有哪些设备以及更多行为维度，以准确查明威胁。