Empêchez toute propagation latérale avant qu'elle ne se transforme en intrusion

Le déplacement latéral désigne le processus utilisé par les attaquants, après avoir obtenu un accès initial aux réseaux et cloud , pour s'enfoncer plus profondément dans un environnement. Ils peuvent recourir à des identifiants volés, à des systèmes internes, à des outils d'accès à distance, à des protocoles de confiance ou à des identités compromises pour atteindre des ressources de grande valeur, étendre leur contrôle et préparer le terrain pour le vol de données, les attaques par ransomware ou la perturbation des services.

Après avoir obtenu un accès initial, les attaquants effectuent des mouvements latéraux en utilisant des identifiants légitimes et des outils de confiance pour étendre leur portée à travers les systèmes, généralement selon une séquence prévisible :

• Obtenir un accès initial par phishing, vol d'identifiants ou services exposés  

• Récupérer d'autres identifiants sur les systèmes compromis  

• Accéder aux systèmes internes à l'aide de services à distance tels que RDP ou SMB  

• Élever les privilèges pour obtenir un contrôle plus étendu sur l'environnement  

• Se concentrer sur les données à forte valeur ajoutée, les contrôleurs de domaine ou les systèmes d'administration  

Parmi les techniques couramment utilisées, on peut citer le « pass-the-hash », Kerberoasting, l'exploitation abusive du protocole RDP (Remote Desktop Protocol) et l'utilisation détournée d'outils d'administration fiables. Comme ces actions s'appuient sur des accès légitimes, elles apparaissent souvent comme une activité interne normale.

Les outils de sécurité traditionnels ne sont pas conçus pour suivre les déplacements des attaquants au sein du réseau, ce qui crée des angles morts critiques dès lors qu'un attaquant a déjà pénétré dans le réseau. Cela entraîne plusieurs limites :

• Les outils de périmètre se concentrent sur le trafic entrant et sortant, mais ne prennent pas en compte les mouvements internes est-ouest  

• Endpoint détectent des événements isolés, mais ne permettent pas de les mettre en corrélation entre les différents systèmes  

• Les outils fonctionnent en silos dans endpoint réseau, d'identité et endpoint  

• La détection basée sur les signatures échoue lorsque les attaquants utilisent des identifiants valides et des outils fiables  

Vectra AI offre aux équipes de sécurité une visibilité sur la manière dont les attaquants se déplacent réellement au sein de leur environnement, leur permettant ainsi de détecter et de stopper les mouvements latéraux avant qu'ils ne se transforment en ransomware ou en perte de données. Au lieu de courir après des alertes isolées, les équipes visualisent l'attaque complète à mesure qu'elle se développe sur leur réseau :

• Surveille en permanence le trafic est-ouest dans les environnements de centres de données, cloud et hybrides  

• Relie la reconnaissance, l'utilisation des identifiants et les mouvements internes au sein d'un seul scénario d'attaque  

• Détecte rapidement des techniques telles que le « pass-the-hash », Kerberoasting et la reconnaissance interne  

• Relie les activités entre les différents systèmes afin que les équipes puissent établir des priorités et agir en toute confiance  

Découvrez comment la plateforme Vectra AI aide votre équipe à identifier clairement les mouvements latéraux, à réduire le bruit des alertes et à bloquer les attaques avant qu'elles n'affectent les systèmes ou les données critiques.