Verhindern Sie seitliche Bewegungen, bevor sie zu einer Sicherheitslücke führen

Seitliche Bewegung ist der Vorgang, den Angreifer nach dem Erlangen des ersten Zugriffs in Netzwerken und cloud nutzen, um tiefer in eine Umgebung vorzudringen. Sie können gestohlene Zugangsdaten, interne Systeme, Fernzugriffstools, vertrauenswürdige Protokolle oder kompromittierte Identitäten nutzen, um an wertvollere Ressourcen zu gelangen, ihre Kontrolle auszuweiten und Datendiebstahl, ransomware oder Betriebsstörungen vorzubereiten.

Nachdem sie sich zunächst Zugang verschafft haben, bewegen sich Angreifer unter Verwendung legitimer Anmeldedaten und vertrauenswürdiger Tools seitlich, um ihren Zugriff auf weitere Systeme auszuweiten, wobei sie in der Regel einer vorhersehbaren Abfolge folgen:

• Erste Zugriffsmöglichkeiten durch phishing, Diebstahl von Zugangsdaten oder ungeschützte Dienste  

• Zusätzliche Anmeldedaten von kompromittierten Systemen sammeln  

• Greifen Sie über Remote-Dienste wie RDP oder SMB auf interne Systeme zu  

• Erweiterung der Berechtigungen, um eine umfassendere Kontrolle über die Umgebung zu erlangen  

• Konzentrieren Sie sich auf hochwertige Daten, Domänencontroller oder Verwaltungssysteme  

Zu den gängigen Techniken zählen „Pass-the-Hash“, Kerberoasting, der Missbrauch des Remote-Desktop-Protokolls (RDP) sowie der Missbrauch vertrauenswürdiger Administrationstools. Da diese Aktionen auf legitimen Zugriffen beruhen, erscheinen sie oft als normale interne Aktivitäten.

Herkömmliche Sicherheitswerkzeuge sind nicht darauf ausgelegt, die Bewegungen von Angreifern innerhalb des Netzwerks zu verfolgen, was zu kritischen blinden Flecken führt, sobald sich ein Angreifer bereits im Netzwerk befindet. Dies bringt mehrere Einschränkungen mit sich:

• Perimeter-Tools konzentrieren sich auf den ein- und ausgehenden Datenverkehr, wobei interne Ost-West-Datenbewegungen außer Acht gelassen werden  

• Endpoint erkennen einzelne Ereignisse, lassen jedoch eine systemübergreifende Korrelation vermissen  

• Tools arbeiten isoliert voneinander in Netzwerk-, Identitäts- und endpoint  

• Die signaturbasierte Erkennung versagt, wenn Angreifer gültige Anmeldedaten und vertrauenswürdige Tools verwenden  

Vectra AI Sicherheitsteams Einblick darin, wie sich Angreifer tatsächlich innerhalb ihrer Umgebung bewegen, sodass sie laterale Bewegungen erkennen und stoppen können, bevor sie zu ransomware Datenverlust führen. Anstatt einzelnen Warnmeldungen hinterherzujagen, sehen die Teams den gesamten Angriff, während er sich in ihrem Netzwerk ausbreitet:

• Überwacht kontinuierlich den Ost-West-Datenverkehr in Rechenzentren, cloud- und Hybridumgebungen  

• Verknüpft Aufklärung, die Nutzung von Anmeldedaten und interne Bewegungen zu einer einzigen Angriffsgeschichte  

• Erkennt Techniken wie „Pass-the-Hash“, Kerberoasting und interne Erkundung frühzeitig  

• Verbindet Aktivitäten systemübergreifend, sodass Teams Prioritäten setzen und sicher handeln können  

Erfahren Sie, wie die Vectra AI Ihrem Team hilft, seitliche Bewegungen klar zu erkennen, die Flut an Fehlalarmen zu reduzieren und Angriffe zu stoppen, bevor sie kritische Systeme oder Daten beeinträchtigen.