¿Qué es el movimiento lateral?

El movimiento lateral es el conjunto de técnicas que utiliza un intruso para desplazarse progresivamente por una red tras haber conseguido un punto de acceso inicial —descubriendo hosts, recopilando credenciales y dirigiéndose hacia objetivos de mayor valor— con el fin de modificar, restringir o sustraer datos antes de ser detectado.

Puntos clave

• El movimiento lateral permite a los atacantes desplazarse de un host comprometido a otros.
• Esto se produce tras una brecha inicial, que suele consistir en un punto de acceso obtenido mediante phishing.
• Los atacantes recopilan credenciales para acceder a sistemas y datos de mayor valor.
• La microsegmentación y la inspección del tráfico en línea constituyen las defensas fundamentales.
• Versa ZT-LAN lo detecta gracias a una biblioteca ampliada de amenazas IPS.

En esta página: Por qué es importante · Cómo funciona · Tipos · Movimiento lateral y Versa · Preguntas frecuentes

¿Por qué es importante el movimiento lateral?

Los atacantes casi nunca acceden directamente al sistema que buscan. Un correo electrónico de spear-phishing compromete el portátil de un usuario cualquiera, unas credenciales robadas abren una sesión de VPN o se aprovecha una vulnerabilidad en un servicio sin parches; y, partiendo de ese punto de apoyo, el atacante aún tiene que llegar a un controlador de dominio, una base de datos o un recurso compartido de archivos que merezca la pena robar. El movimiento lateral es esa fase intermedia y el punto clave para detener una brecha de seguridad antes de que acabe en los titulares: si se contiene el pivote, el ataque se limitará a un único ordenador portátil infectado, en lugar de convertirse en un incidente que afecte a todo el dominio.

Hoy en día es aún más importante porque, históricamente, el tráfico de LAN y el tráfico este-oeste han sido objeto de mucha menos inspección que el tráfico que cruza el perímetro de Internet. Un atacante que se desplaza de una estación de trabajo a otra a través de RDP o SMB suele parecer una actividad informática normal para una red diseñada únicamente para supervisar el tráfico norte-sur. Los operadores de ransomware se aprovechan de este punto ciego —necesitan moverse lateralmente para llegar a suficientes sistemas y que el ataque resulte rentable—, por lo que detectarlo es ahora un requisito fundamental de la arquitectura de seguridad de la red.

¿Qué es el movimiento lateral?

Un ataque de movimiento lateral suele desarrollarse en tres fases: infiltración inicial, exploración y acción sobre los objetivos. Una vez establecido el punto de apoyo, el atacante analiza la red y el dominio locales —enumerando cuentas, recursos compartidos y hosts accesibles— para planificar su siguiente paso. Las herramientas de recolección de credenciales extraen contraseñas, hash o tickets almacenados en caché en el host comprometido, y el atacante los reutiliza para autenticarse en otros sistemas sin necesidad de realizar más exploits.

El movimiento lateral suele producirse a través de canales administrativos legítimos: RDP, SMB, WinRM o herramientas de ejecución remota que el personal de TI utiliza a diario. Esa coincidencia con el comportamiento administrativo habitual es lo que hace que el movimiento lateral sea difícil de detectar con simples reglas de permiso o denegación: el tráfico suele estar permitido, pero lo utiliza una persona no autorizada. El atacante repite el proceso de exploración y reutilización de credenciales, paso a paso, hasta llegar al sistema que alberga el objetivo real.

Tipos de técnicas de movimiento lateral

Hay varios patrones recurrentes en las intrusiones reales. El movimiento basado en credenciales reutiliza contraseñas robadas, hash de contraseñas («pass-the-hash») o tickets de Kerberos («pass-the-ticket») para autenticarse en nuevos hosts sin necesidad de descifrar nada. La explotación de servicios remotos se centra en vulnerabilidades sin parchear en servicios expuestos, como SMB o RDP, para conseguir la ejecución de código directamente en un host vecino. El uso indebido de herramientas legítimas de administración remota —PsExec, WMI y la función de acceso remoto de PowerShell— permite a un atacante ejecutar comandos en otros equipos utilizando las mismas utilidades en las que confían los administradores, un patrón que a menudo se denomina «living off the land». El spear-phishing interno aprovecha la posición de confianza de una cuenta comprometida para suplantar la identidad de compañeros de trabajo desde dentro de la organización, eludiendo así el recelo que suscitaría un correo electrónico externo.

Movimiento lateral y Versa

La solución ZT-LAN deVersa integra la protección contra el movimiento lateral en la estructura de la LAN, en lugar de redirigir el tráfico este-oeste a un cortafuegos central. La protección combina una biblioteca ampliada de amenazas del IPS, una base de firmas de malware adaptada a los archivos binarios utilizados en el movimiento lateral y una inspección del tráfico en línea que señala actividades típicas del ransomware, el malware y el uso indebido de herramientas administrativas. La misma detección se aplica a través de VOS: los motores IPS y antivirus inspeccionan el tráfico en busca de comportamientos propios del ransomware y el malware, incluidas herramientas como Responder.

Los administradores lo activan como perfil de seguridad: una regla de cortafuegos establece las zonas de origen y destino; a continuación, se aplica el perfil predefinido «Detección de movimiento lateral» en la sección «Protección contra vulnerabilidades» de la pestaña «Aplicar», y se registra mediante el perfil de registro predeterminado. Los incidentes detectados aparecen en «Analítica», en «Registros» → «Detección de amenazas» → «IDP».

Preguntas frecuentes

¿Cuál es la diferencia entre el movimiento lateral y la escalada de privilegios?

El movimiento lateral consiste en acceder a nuevos sistemas; la escalada de privilegios consiste en obtener derechos más elevados en un sistema al que ya se ha accedido. Ambos conceptos son complementarios: los atacantes escalan privilegios en un host para obtener credenciales que les permitan dar el siguiente paso.

¿Cómo suelen conseguir los atacantes un punto de acceso inicial antes de desplazarse lateralmente?

El spear-phishing es el punto de entrada más habitual: un correo electrónico diseñado específicamente para ello incita al usuario a abrir un documento o a hacer clic en un enlace que descarga malware. Otros puntos de partida frecuentes son el aprovechamiento de un servicio expuesto a Internet sin parches o el uso de credenciales robadas.

¿Qué es el «pass-the-hash» y cómo permite el movimiento lateral?

El método «pass-the-hash» reutiliza un hash de contraseña capturado para autenticarse en otro sistema sin necesidad alguna de disponer de la contraseña en texto plano. Dado que muchos sistemas aceptan el hash directamente, un atacante que lo robe puede suplantar la identidad de ese usuario en cualquier otro punto de la red.

¿Cómo impide la microsegmentación el movimiento lateral?

La microsegmentación divide la red en pequeñas zonas aisladas y aplica políticas entre ellas, de modo que un dispositivo comprometido solo puede acceder a los sistemas que permite su zona. Un atacante que se encuentre en un segmento no puede acceder libremente a los hosts de otro.

¿Es posible detectar movimientos laterales sin que haya un agente instalado en cada dispositivo?

Sí. La inspección en línea a nivel de red supervisa el tráfico entre hosts en busca de los comportamientos que este genera —firmas de recopilación de credenciales, uso inusual de protocolos «este-oeste», malware en tránsito—, por lo que la detección no depende de que haya un agente de punto final en cada dispositivo.

Más información sobre el movimiento lateral

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre la movilidad lateral, te conviene echar un vistazo a esto a continuación.