Laterale Bewegung abfangen, bevor sie die Kronjuwelen erreicht
Angreifer landen fast nie direkt auf den Kronjuwelen. Sie fassen auf einem Rechner Fuß — einer gewöhnlichen, unwichtigen Benutzer-Workstation — und von dort kriechen sie seitwärts, von Rechner zu Rechner, bis sie den Dateiserver oder den Domänencontroller erreichen. Klassische Antivirus- und EDR-Lösungen betrachten einen einzelnen Host; ihnen entgeht genau das, was zwischen den Hosts passiert. NDR betrachtet den Datenverkehr selbst.
Warum Ost-West der blinde Fleck ist
Ein typischer Angriff ist eine Kette: initialer Zugriff (Phishing, gestohlene Zugangsdaten) → laterale Bewegung (Ost-West, von Rechner zu Rechner) → Impact (Ransomware-Verschlüsselung, Datendiebstahl). Ein Sicherheitswerkzeug, das einen Rechner betrachtet, sieht einen laufenden Prozess und einen lauschenden Port — aber es sieht nicht, dass dieser Rechner plötzlich SMB mit zehn anderen Rechnern spricht, mit denen er nie zuvor gesprochen hat. Das ist die Signatur lateraler Bewegung, und sie ist nur sichtbar, wenn man das interne Netzwerk als System betrachtet.
Wie wir laterale Bewegung fangen
Doogree historisiert die internen Peer-Verbindungen jedes Rechners — die IP, den Port und den Prozess, der die Verbindung initiiert hat. Für jede Verbindung ordnen wir den Port einer ATT&CK-Technik zu: SMB → T1021.002, RDP → T1021.001, WinRM → T1021.006, SSH → T1021.004, VNC → T1021.005. Nach dem Lernfenster ist ein erstmaliger interner Peer auf einem Admin-/Fernsteuerungsport ein Kandidat für laterale Bewegung — und er taucht als Verhaltens-DNA-Anomalie auf, gekennzeichnet mit der präzisen Technik.
Anmeldeidentität als DNA (Server)
Die Kehrseite derselben Medaille ist, wer sich anmeldet und von wo. Der Server-Agent meldet die menschlichen Konten und die erfolgreichen Anmeldungen aus auth.log — das Konto, die Quell-IP-Adresse und ob es sich um eine root-/Admin-Anmeldung handelt. Die Cloud baut eine Baseline der bekannten Konten und der bekannten Anmeldequellen auf. Ein neues Konto oder eine Admin-/Root-Anmeldung von einer IP, die noch nie gesehen wurde, ist eine kritische Anomalie — ein Kandidat für Kontoübernahme — abgebildet auf T1078 (Valid Accounts) und T1098.
Alles fügt sich zu einer einzigen Angriffsgeschichte zusammen
Diese beiden Fähigkeiten stehen nicht für sich allein. Sie fügen sich in die SIEM-Korrelations-Engine als Phasen der Kill-Chain ein: Die laterale Bewegung ist die Phase lateral, und die Anomalie der Anmeldeidentität ist die Phase Zugriff. Statt zweier isolierter Alarme erhält man einen einzigen Vorfall, der eine Geschichte erzählt: Jemand hat sich von einer fremden Quelle angemeldet und ist dann seitwärts über WinRM gekrochen — mit automatischer Eskalation des Schweregrads.