Capturar o movimento lateral antes que ele alcance as joias da coroa
Os atacantes quase nunca caem diretamente sobre as joias da coroa. Eles ganham uma cabeça de ponte em uma máquina — uma estação de trabalho comum e sem importância — e a partir dela rastejam de lado, de máquina em máquina, até chegar ao servidor de arquivos ou ao controlador de domínio. Antivírus e EDR clássicos olham para um único host; eles perdem exatamente o que acontece entre os hosts. O NDR olha para o próprio tráfego.
Por que o leste-oeste é o ponto cego
Um ataque típico é uma cadeia: acesso inicial (phishing, credencial roubada) → movimento lateral (leste-oeste, de máquina em máquina) → impacto (criptografia por ransomware, roubo de dados). Uma ferramenta de segurança que olha para uma máquina vê um processo em execução e uma porta em escuta — mas não vê que essa máquina de repente está falando SMB com outras dez máquinas com as quais nunca havia falado. Essa é a assinatura do movimento lateral, e ela só é visível quando se olha para a rede interna como um sistema.
Como capturamos o movimento lateral
A Doogree historiza as conexões de pares internos de cada máquina — o IP, a porta e o processo que iniciou a conexão. Para cada conexão, classificamos a porta em uma técnica do ATT&CK: SMB → T1021.002, RDP → T1021.001, WinRM → T1021.006, SSH → T1021.004, VNC → T1021.005. Após a janela de aprendizado, um par interno inédito numa porta administrativa/de controle remoto é um candidato a movimento lateral — e ele aflora como uma anomalia de DNA comportamental, marcado com a técnica precisa.
A identidade de logon como DNA (servidores)
O outro lado da mesma moeda é quem faz login, e de onde. O agente de servidor reporta as contas humanas e os logins bem-sucedidos a partir do auth.log — a conta, o endereço IP de origem e se é um login root/administrativo. A nuvem constrói uma linha de base das contas conhecidas e das origens de logon conhecidas. Uma nova conta, ou um login admin/root de um IP nunca visto, é uma anomalia crítica — um candidato a apropriação de conta — mapeado para T1078 (Contas Válidas) e T1098.
Tudo se agrupa em uma única história de ataque
Essas duas capacidades não vivem sozinhas. Elas se agrupam no motor de correlação do SIEM como estágios da cadeia de ataque: o movimento lateral é o estágio lateral, e a anomalia de identidade de logon é o estágio acesso. Em vez de dois alertas isolados, você obtém um incidente que conta uma história: alguém fez login de uma origem estranha e, em seguida, rastejou de lado via WinRM — com escalonamento automático de severidade.