לתפוס תנועה רוחבית לפני שהיא מגיעה לכתר

תוקפים כמעט אף פעם לא נוחתים ישר על תכשיטי-הכתר. הם משיגים דריסת-רגל על מכונה אחת — מחשב-משתמש רגיל, לא-חשוב — ומשם זוחלים הצידה, ממכונה למכונה, עד שהם מגיעים לשרת-הקבצים או ל-DC. אנטי-וירוס ו-EDR קלאסי מסתכלים על מארח בודד; הם מפספסים בדיוק את הדבר שקורה בין המארחים. NDR מסתכל על התנועה עצמה.

למה east-west הוא הנקודה-העיוורת

מתקפה טיפוסית היא שרשרת: גישה-ראשונית (פישינג, credential גנוב) ← תנועה-רוחבית (east-west, ממכונה למכונה) ← אימפקט (הצפנת-כופר, גניבת-מידע). כלי אבטחה שמסתכל על מכונה אחת רואה תהליך שרץ ופורט שמאזין — אבל הוא לא רואה שהמכונה הזו פתאום מדברת SMB עם עשר מכונות אחרות שמעולם לא דיברה איתן. זו החתימה של תנועה-רוחבית, והיא נראית רק כשמסתכלים על הרשת הפנימית כמערכת.

איך אנחנו תופסים תנועה-רוחבית

Doogree עושה היסטוריזציה לחיבורי-ה-peer הפנימיים של כל מכונה — IP, פורט, והתהליך שיזם את החיבור. לכל חיבור אנחנו מסווגים את הפורט לטכניקת ATT&CK: SMB → T1021.002, RDP → T1021.001, WinRM → T1021.006, SSH → T1021.004, VNC → T1021.005. אחרי חלון-הלמידה, peer פנימי ראשון-אי-פעם על פורט-אדמין/שליטה-מרחוק הוא מועמד לתנועה-רוחבית — והוא עולה כחריגת-DNA התנהגותית, מתויגת בטכניקה המדויקת.

זהות-כניסה כ-DNA (שרתים)

הצד השני של אותו מטבע הוא מי מתחבר, ומאיפה. סוכן-השרת מדווח את החשבונות-האנושיים ואת ההתחברויות-המוצלחות מתוך auth.log — החשבון, כתובת-ה-IP המקורית, והאם זו כניסת root/אדמין. הענן בונה baseline של החשבונות המוכרים ושל מקורות-הכניסה המוכרים. חשבון חדש, או כניסת אדמין/root מ-IP שמעולם לא נראה, היא חריגה קריטית — מועמד להשתלטות-על-חשבון — ממופה ל-T1078 (Valid Accounts) ו-T1098.

הכל נכנס לאותו סיפור-מתקפה

שתי היכולות האלה לא חיות לבד. הן מתקפלות אל תוך מנוע ה-SIEM correlation כשלבים בשרשרת-ההרג: התנועה-הרוחבית היא שלב ה-lateral, וחריגת-זהות-הכניסה היא שלב ה-access. במקום שתי התראות מבודדות, מקבלים אירוע אחד שמספר סיפור: מישהו נכנס ממקור זר, ואז זחל הצידה על WinRM — עם הסלמת-חומרה אוטומטית.

← חזרה לבלוג · איך זה עובד →