Movimiento lateral

La primera máquina en la que aterriza un atacante casi nunca es interesante. Es de alguien de finanzas o de logística, y lo que el atacante quiere está en otro sitio: un servidor de ficheros, una base de datos, un controlador de dominio, un sistema de copias, una plataforma de pagos. El movimiento lateral es el trabajo de llegar de una cosa a la otra.

Funciona como un bucle. Mirar alrededor desde donde estás: qué alcanza esta máquina, qué credenciales tiene en caché, qué recursos compartidos están montados, qué agentes hay instalados, qué dice el directorio de las cuentas que la usan. Coger el material de credenciales que haya. Usarlo para autenticarse en un sitio nuevo. Repetir desde ahí. El bucle termina cuando el atacante llega a algo que cumple su objetivo, o cuando le sale más barato escalar privilegios.

Los mecanismos son, casi por completo, funcionalidad que ya viene de serie. Creación remota de servicios, protocolos de administración remota, escritorio remoto, creación de tareas programadas en una máquina ajena, agentes de gestión que pueden lanzar un comando a todas las máquinas que cubren y, en parques Linux, una clave privada reutilizada. Todo eso es administración. Ninguna de esas cosas es maliciosa por sí sola, y precisamente por eso se eligen antes que un exploit: un exploit puede fallar y puede tirar el objetivo, mientras que una credencial válida sobre un protocolo estándar funciona siempre y parece trabajo.

Movimiento y escalada son dos ejes distintos y se entrelazan. Moverse de lado con los mismos permisos abre territorio nuevo; escalar en una máquina abre mejores credenciales para el salto siguiente. Las intrusiones reales alternan entre los dos, y por eso la cronología de un incidente se lee como un zigzag y no como una subida recta.

La condición que hace fácil el movimiento es una red plana. Todo alcanza a todo por cualquier puerto de administración, porque la segmentación nunca se terminó, o porque existe entre la oficina y el centro de datos pero no dentro del centro de datos. En nuestros proyectos encontramos con frecuencia que la segunda máquina se alcanza desde la primera, y la doscientos desde la segunda.

La segunda condición es la reutilización de credenciales, y el caso típico es una sola contraseña de administrador local en toda la imagen. Ese único hecho convierte un compromiso en todos ellos sin que haga falta escalar nada, y por eso pass-the-hash es tantas veces la primera y la última técnica de un informe interno.

La tercera es donde dejan material las cuentas privilegiadas. Un administrador que abre sesión en un puesto cualquiera, un servicio que corre con una cuenta de dominio, un agente de gestión que se autentica con una credencial compartida. El atacante no necesita llegar al objetivo: necesita estar en una máquina que las credenciales del objetivo vayan a visitar.

La cuarta es la detección. Cada paso individual produce una autenticación correcta y una acción administrativa legítima, y las dos son los eventos más frecuentes del parque. No hay ningún fallo del que alertar. Lo que hace visible la secuencia no es ningún evento suelto, sino la forma: un puesto de trabajo que inicia conexiones administrativas, una cuenta que se autentica contra máquinas que nunca ha tocado, una racha de conexiones con un patrón que ninguna jornada humana produce.

Los dos se cuentan juntos y son mecánicas separadas con defensas separadas.

La razón de mantenerlos separados es la propiedad. Reducir el movimiento es sobre todo un problema de red y de identidad; reducir la escalada de privilegios es sobre todo un problema de plataforma y de configuración. Una organización que los trata como un solo punto asigna el trabajo a un solo equipo, y la mitad se queda sin hacer.

Creer que el perímetro es el control. En cuanto una máquina de dentro está comprometida, el perímetro ya no tiene ningún efecto sobre nada de lo que se describe aquí.

Segmentar por sede y no por función. Un centro de datos plano detrás de una red de oficina segmentada sigue siendo plano donde importa.

Permitir protocolos de administración entre puestos de trabajo. Un puesto casi nunca necesita acceso administrativo remoto a otro. Bloquear esa única clase de tráfico elimina buena parte de los caminos fáciles.

Tratar una alerta de EDR como si fuera contención. Detección sin respuesta es un registro de la intrusión. Donde no hay nadie de guardia, el atacante tiene horas.

Dar por hecho que en cloud este problema no existe. Existe el mismo problema con primitivas distintas: una carga de trabajo comprometida con un rol que puede asumir otro rol, y una ruta de ataque en cloud que acaba en el mismo tipo de datos.

Segmenta para la intrusión que vas a tener, no para la topología que dibujaste. Una segmentación de red que separe puestos de servidores, y servidores entre sí por función, convierte un compromiso en un segmento. Bloquear el tráfico administrativo de puesto a puesto suele ser la regla suelta de más valor disponible, y no rompe casi nada.

Quita la reutilización de credenciales. Contraseñas de administrador local distintas por máquina, cuentas de servicio con contraseña gestionada por el directorio, y cuentas administrativas que no puedan iniciar sesión en máquinas ordinarias. Las tres juntas hacen que cada paso le cueste algo al atacante en vez de salirle gratis.

Y después instrumenta para la forma, no para el evento. Las detecciones que funcionan son relacionales: una cuenta que se autentica contra una máquina con la que no tiene historia, un origen que se autentica contra muchos destinos en una ventana corta, uso de protocolos administrativos desde una subred donde no se administra, y creación de servicios o de tareas programadas fuera de una ventana de cambio. Manda esas mismas señales a tu SIEM con las líneas base de máquina y de cuenta que las hacen significativas, porque sin la línea base todas son normales.

Y por último, pruébalo. La pregunta no es si la herramienta detecta una técnica en un laboratorio, sino si existe un camino real desde un puesto cualquiera hasta tu sistema más valioso, y cuántos pasos tiene. Eso se mide, y el número es la métrica que merece la pena seguir año a año.

Los informes de un proyecto interno se escriben como caminos, y el movimiento lateral es el tejido que une los hallazgos. Cada paso registra la máquina de origen, el destino, la credencial usada, el protocolo y la hora. Esa estructura permite que el cliente vea que cerrar un solo paso, normalmente la reutilización de credenciales o una regla de segmentación, tumba varios hallazgos a la vez.

Somos explícitos sobre qué pasos usaron credenciales válidas y qué pasos usaron una vulnerabilidad, porque el responsable de subsanarlo es distinto y porque la primera categoría no va a aparecer en la salida de ningún escáner.

La severidad depende del destino del camino y de su longitud. Un camino de ocho pasos que exige varias condiciones afortunadas es un riesgo distinto de un camino de dos pasos que funciona desde cualquier puesto. Damos el número de pasos y las condiciones previas, para que el cliente decida por dónde cortar.

Averiguar si ese camino existe siquiera es la pregunta central de un test hecho desde dentro de la red, y normalmente se responde el primer día.

¿Cómo se mueven los atacantes lateralmente sin malware? Usando las herramientas de administración que ya están ahí: protocolos de administración remota, escritorio remoto, creación remota de servicios y de tareas programadas, y agentes de gestión. Con una credencial válida, nada de eso necesita instalar nada.

¿La segmentación de red detiene el movimiento lateral? No lo detiene, lo acota. Una buena segmentación hace que un compromiso alcance una zona en vez del parque entero, y obliga al atacante a hacer intentos más ruidosos en la frontera, que es donde tienes alguna posibilidad de verlo.

¿Cuánto tarda el movimiento lateral en una intrusión real? Varía de horas a meses, y en la mayoría de los parques que probamos la distancia técnica es corta. Donde una intrusión tarda semanas suele ser porque el atacante eligió ir despacio, no porque la red se lo pusiera difícil.

¿Cuál es el cambio más eficaz? Quitar las credenciales de administrador local compartidas, y después bloquear los protocolos de administración entre puestos de trabajo. Esos dos eliminan los pasos gratuitos, y todo lo que venga después le cuesta al atacante un tiempo que sí puedes detectar.