Was ist „Lateral Movement“?

Unter „Lateral Movement“ versteht man die Gesamtheit der Techniken, die ein Angreifer einsetzt, um sich nach dem Erlangen eines ersten Zugriffs schrittweise durch ein Netzwerk zu bewegen – dabei Hosts zu identifizieren, Anmeldedaten zu sammeln und sich auf höherwertige Ziele zu verlagern –, um Daten zu verändern, einzuschränken oder zu exfiltrieren, bevor er entdeckt wird.

Die wichtigsten Erkenntnisse

• Durch laterale Bewegung können Angreifer von einem kompromittierten Host zu anderen wechseln.
• Dies folgt auf einen ersten Sicherheitsverstoß, bei dem es sich häufig um einen durch Phishing erlangten Zugang handelt.
• Angreifer erbeuten Zugangsdaten, um an wertvollere Systeme und Daten zu gelangen.
• Mikrosegmentierung und Inline-Datenverkehrsprüfung bilden die Kernkomponenten der Verteidigung.
• Versa ZT-LAN erkennt dies mithilfe einer erweiterten IPS-Bedrohungsdatenbank.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Seitliche Bewegung & Versa · Häufig gestellte Fragen

Warum ist die seitliche Bewegung wichtig?

Angreifer gelangen so gut wie nie direkt auf das System, das sie ins Visier nehmen. Eine Spear-Phishing-E-Mail kompromittiert den Laptop eines gewöhnlichen Nutzers, gestohlene Zugangsdaten öffnen eine VPN-Sitzung oder ein nicht gepatchter Dienst wird ausgenutzt – und von diesem Einstiegspunkt aus muss der Angreifer noch einen Domänencontroller, eine Datenbank oder eine Dateifreigabe erreichen, die es wert ist, gestohlen zu werden. Die laterale Bewegung ist diese mittlere Phase und der entscheidende Punkt, um einen Angriff zu stoppen, bevor er Schlagzeilen macht: Wenn man den Pivot eindämmt, bleibt der Schaden auf einen einzigen infizierten Laptop beschränkt und es kommt nicht zu einem domänenweiten Vorfall.

Dies ist heute umso wichtiger, da LAN- und Ost-West-Datenverkehr in der Vergangenheit weitaus weniger überprüft wurden als der Datenverkehr, der die Internetgrenze überquert. Ein Angreifer, der sich über RDP oder SMB von Arbeitsplatzrechner zu Arbeitsplatzrechner bewegt, wirkt in einem Netzwerk, das ausschließlich auf die Überwachung des Nord-Süd-Datenverkehrs ausgelegt ist, oft wie eine gewöhnliche IT-Aktivität. Ransomware-Betreiber machen sich diesen blinden Fleck zunutze – sie benötigen laterale Bewegung, um genügend Systeme zu erreichen, damit sich der Angriff lohnt –, weshalb deren Erkennung mittlerweile eine entscheidende Anforderung an die Netzwerksicherheitsarchitektur darstellt.

Was versteht man unter „Lateralbewegung“?

Ein Angriff durch seitliche Bewegung verläuft in der Regel in drei Phasen: anfängliche Infiltration, Erkundung und Angriff auf die Ziele. Nachdem sich der Angreifer einen Fuß gefasst hat, untersucht er das lokale Netzwerk und die Domäne – indem er Konten, Freigaben und erreichbare Hosts auflistet –, um zu ermitteln, wohin er als Nächstes vorstoßen soll. Tools zum Sammeln von Anmeldedaten extrahieren Passwörter, Hashes oder Tickets, die auf dem kompromittierten Host zwischengespeichert sind, und der Angreifer verwendet diese erneut, um sich bei weiteren Systemen zu authentifizieren, ohne weitere Schwachstellen ausnutzen zu müssen.

Die laterale Bewegung erfolgt in der Regel über legitime Verwaltungskanäle: RDP, SMB, WinRM oder Tools zur Remote-Ausführung, die IT-Mitarbeiter täglich nutzen. Gerade diese Überschneidung mit dem normalen Verhalten von Administratoren macht es schwierig, laterale Bewegungen mit einfachen Zulassungs- und Sperrregeln zu erkennen – der Datenverkehr ist oft zulässig, wird aber von der falschen Partei genutzt. Der Angreifer wiederholt Schritt für Schritt die Erkundung und die Wiederverwendung von Anmeldedaten, bis er das System erreicht, auf dem sich das eigentliche Ziel befindet.

Arten von Techniken zur seitlichen Bewegung

Bei realen Angriffen wiederholen sich mehrere Muster. Bei der auf Anmeldedaten basierenden Bewegung werden gestohlene Passwörter, Passwort-Hashes („Pass-the-Hash“) oder Kerberos-Tickets („Pass-the-Ticket“) wiederverwendet, um sich auf neuen Hosts zu authentifizieren, ohne etwas knacken zu müssen. Die Ausnutzung von Remote-Diensten zielt auf ungepatchte Schwachstellen in exponierten Diensten wie SMB oder RDP ab, um direkt Codeausführung auf einem benachbarten Host zu erlangen. Der Missbrauch legitimer Fernverwaltungstools – PsExec, WMI und PowerShell-Remoting – ermöglicht es einem Angreifer, Befehle auf anderen Rechnern auszuführen, wobei er dieselben Dienstprogramme nutzt, auf die sich Administratoren verlassen – ein Muster, das oft als „Living off the Land“ bezeichnet wird. Internes Spear-Phishing nutzt die vertrauenswürdige Position eines kompromittierten Kontos, um Kollegen innerhalb der Organisation zu phishen und so die Skepsis zu umgehen, die eine externe E-Mail hervorrufen würde.

Seitliche Bewegung & Versa

Die ZT-LAN-Lösung „Versa “ integriert Schutz vor lateraler Bewegung direkt in die LAN-Struktur, anstatt den Ost-West-Datenverkehr zu einer zentralen Firewall weiterzuleiten. Der Schutz kombiniert eine erweiterte IPS-Bedrohungsdatenbank mit einer Malware-Signaturdatenbank, die speziell auf Binärdateien abgestimmt ist, die bei lateraler Bewegung verwendet werden. Durch die Inline-Datenverkehrsprüfung werden Aktivitäten markiert, die typisch für Ransomware, Malware und missbrauchte Administrationstools sind. Die gleiche Erkennung findet auch in VOS statt: Die IPS- und Antiviren-Engines überprüfen den Datenverkehr auf Ransomware- und Malware-Verhalten, einschließlich Tools wie Responder.

Administratoren aktivieren diese Funktion als Sicherheitsprofil: Eine Firewall-Regel legt die Quell- und Zielzonen fest, anschließend wird das vordefinierte Profil „Lateral Movement Detection“ unter „Schwachstellenschutz“ auf der Registerkarte „Durchsetzen“ angewendet und über das Standard-Protokollierungsprofil protokolliert. Erkannte Vorfälle werden in Analytics unter „Protokolle“ → „Bedrohungserkennung“ → „IDP“ angezeigt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen lateraler Bewegung und Privilegieneskalation?

Bei der lateralen Bewegung geht es darum, neue Systeme zu erreichen; bei der Rechteausweitung darum, auf einem bereits erreichten System höhere Rechte zu erlangen. Beide ergänzen sich – Angreifer erweitern ihre Rechte auf einem Host, um Anmeldedaten zu erbeuten, die den nächsten Schritt ermöglichen.

Wie verschaffen sich Angreifer in der Regel zunächst einen Zugang, bevor sie sich lateral ausbreiten?

Spear-Phishing ist der häufigste Einstiegspunkt: Eine gezielt gestaltete E-Mail verleitet einen Nutzer dazu, ein Dokument zu öffnen oder auf einen Link zu klicken, über den Malware eingeschleust wird. Die Ausnutzung eines nicht gepatchten, mit dem Internet verbundenen Dienstes oder gestohlener Zugangsdaten sind weitere häufige Einstiegspunkte.

Was ist „Pass-the-Hash“ und wie ermöglicht es die laterale Bewegung?

Bei „Pass-the-Hash“ wird ein abgefangener Passwort-Hash wiederverwendet, um sich bei einem anderen System zu authentifizieren, ohne dass das Passwort im Klartext benötigt wird. Da viele Systeme den Hash direkt akzeptieren, kann ein Angreifer, der einen solchen Hash stiehlt, sich an anderer Stelle im Netzwerk als dieser Benutzer ausgeben.

Wie verhindert Mikrosegmentierung die laterale Bewegung?

Bei der Mikrosegmentierung wird das Netzwerk in kleine, voneinander isolierte Zonen unterteilt, zwischen denen Richtlinien durchgesetzt werden, sodass ein kompromittiertes Gerät nur auf die Systeme zugreifen kann, die in seiner Zone zugelassen sind. Ein Angreifer in einem Segment kann nicht ungehindert auf Hosts in einem anderen Segment zugreifen.

Kann eine seitliche Bewegung erkannt werden, ohne dass auf jedem Gerät ein Agent installiert ist?

Ja. Die Inline-Prüfung auf Netzwerkebene überwacht den Datenverkehr zwischen Hosts auf bestimmte Verhaltensmuster – Signaturen zum Abgreifen von Anmeldedaten, ungewöhnliche East-West-Protokollnutzung, Malware im Transit –, sodass die Erkennung nicht von einem Endpunkt-Agenten auf jedem Gerät abhängt.

Mehr zum Thema „Lateralbewegung“

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit dem Thema „Lateral Movement“ beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.