Qu'est-ce que le mouvement latéral ?

Le déplacement latéral désigne l'ensemble des techniques utilisées par un intrus pour progresser progressivement au sein d'un réseau après s'y être initialement implanté – en identifiant des hôtes, en récupérant des identifiants et en se tournant vers des cibles de plus grande valeur – afin de modifier, restreindre ou exfiltrer des données avant d'être détecté.

Points clés à retenir

• Les mouvements latéraux permettent aux attaquants de passer d'un hôte compromis à d'autres.
• Cela fait suite à une première intrusion, qui prend souvent la forme d'un point d'ancrage obtenu par hameçonnage.
• Les pirates récupèrent des identifiants pour accéder à des systèmes et à des données de grande valeur.
• La microsegmentation et l'inspection du trafic en ligne constituent les principaux moyens de défense.
• Versa ZT-LAN le détecte grâce à une base de données étendue des menaces IPS.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Mouvement latéral et Versa · FAQ

Pourquoi le mouvement latéral est-il important ?

Les attaquants n’atteignent presque jamais directement le système qu’ils visent. Un e-mail de spear-phishing compromet l’ordinateur portable d’un utilisateur lambda, des identifiants volés permettent d’ouvrir une session VPN, ou un service non mis à jour est exploité – et à partir de ce point d’ancrage, l’attaquant doit encore atteindre un contrôleur de domaine, une base de données ou un partage de fichiers présentant un intérêt suffisant pour être volé. Le déplacement latéral correspond à cette phase intermédiaire, et c’est le moment le plus décisif pour mettre fin à une intrusion avant qu’elle ne fasse la une des journaux : en contenant le pivot, la compromission se limite à un seul ordinateur portable infecté, et non à un incident touchant l’ensemble du domaine.

Cela revêt aujourd’hui une importance accrue, car le trafic LAN et le trafic est-ouest ont historiquement fait l’objet d’une surveillance bien moins rigoureuse que le trafic transitant par la périphérie d’Internet. Un attaquant se déplaçant de poste de travail en poste de travail via RDP ou SMB passe souvent pour une activité informatique ordinaire au sein d’un réseau conçu uniquement pour surveiller le trafic nord-sud. Les auteurs de rançongiciels tirent parti de cet angle mort – ils ont besoin de se déplacer latéralement pour atteindre un nombre suffisant de systèmes et rentabiliser leur attaque –, ce qui explique pourquoi la détection de ces mouvements latéraux est désormais une exigence fondamentale de l’architecture de sécurité réseau.

Qu'est-ce que le mouvement latéral ?

Une attaque par déplacement latéral se déroule généralement en trois étapes : l'infiltration initiale, la reconnaissance et l'action sur les cibles. Une fois qu'il a établi un point d'ancrage, l'attaquant étudie le réseau et le domaine locaux – en recensant les comptes, les partages et les hôtes accessibles – afin de déterminer la prochaine étape. Des outils de collecte d'identifiants extraient les mots de passe, les hachages ou les tickets mis en cache sur l'hôte compromis, et l'attaquant les réutilise pour s'authentifier sur d'autres systèmes sans avoir à mener d'autres exploitations.

Les déplacements latéraux s'effectuent généralement via des canaux administratifs légitimes : RDP, SMB, WinRM ou les outils d'exécution à distance que le personnel informatique utilise quotidiennement. C'est précisément ce chevauchement avec les comportements administratifs normaux qui rend les déplacements latéraux difficiles à détecter à l'aide de simples règles d'autorisation ou de refus : le trafic est souvent autorisé, mais utilisé par une personne non autorisée. L'attaquant répète les étapes de découverte et de réutilisation des identifiants, étape par étape, jusqu'à atteindre le système hébergeant la cible réelle.

Types de techniques de déplacement latéral

Plusieurs schémas reviennent régulièrement dans les intrusions réelles. Les mouvements basés sur des identifiants réutilisent des mots de passe volés, des hachages de mots de passe (« pass-the-hash ») ou des tickets Kerberos (« pass-the-ticket ») pour s’authentifier sur de nouveaux hôtes sans avoir à forcer aucun système. L’exploitation de services distants cible des vulnérabilités non corrigées dans des services exposés tels que SMB ou RDP afin d’obtenir directement l’exécution de code sur un hôte voisin. L’utilisation abusive d’outils légitimes d’administration à distance – PsExec, WMI et PowerShell Remoting – permet à un attaquant d’exécuter des commandes sur d’autres machines en utilisant les mêmes utilitaires que ceux sur lesquels s’appuient les administrateurs, un schéma souvent appelé « living off the land ». Le spear-phishing interne exploite la position de confiance d’un compte compromis pour hameçonner des collègues depuis l’intérieur de l’organisation, contournant ainsi la méfiance qu’un e-mail externe susciterait.

Déplacement latéral et Versa

La solution ZT-LAN d’Versa intègre une protection contre les mouvements latéraux directement dans la structure du réseau local (LAN), plutôt que de rediriger le trafic est-ouest vers un pare-feu central. Cette protection combine une bibliothèque de menaces IPS étendue, une base de signatures de logiciels malveillants optimisée pour les fichiers binaires utilisés dans les mouvements latéraux, ainsi qu’une inspection en ligne du trafic permettant de signaler les activités typiques des ransomwares, des logiciels malveillants et des outils d’administration détournés. Ce même processus de détection s’applique à VOS : les moteurs IPS et antivirus inspectent le trafic à la recherche de comportements caractéristiques des ransomwares et des logiciels malveillants, y compris des outils tels que Responder.

Les administrateurs l'activent en tant que profil de sécurité : une règle de pare-feu définit les zones source et destination, puis le profil prédéfini « Détection des mouvements latéraux » est appliqué dans la section « Protection contre les vulnérabilités » de l'onglet « Appliquer », et les événements sont consignés via le profil de journalisation par défaut. Les incidents détectés apparaissent dans la section « Analytics », sous « Journaux » → « Détection des menaces » → « IDP ».

Questions fréquentes

Quelle est la différence entre un déplacement latéral et une élévation de privilèges ?

Le déplacement latéral consiste à accéder à de nouveaux systèmes ; l'escalade de privilèges consiste à obtenir des droits plus élevés sur un système déjà compromis. Ces deux techniques sont complémentaires : les attaquants procèdent à une escalade de privilèges sur un hôte afin de récupérer les identifiants qui leur permettront de passer à l'étape suivante.

Comment les pirates parviennent-ils généralement à s'introduire dans un système avant de se déplacer latéralement ?

Le spear-phishing constitue le point d'entrée le plus courant : un e-mail spécialement conçu incite un utilisateur à ouvrir un document ou à cliquer sur un lien qui télécharge un logiciel malveillant. L'exploitation d'un service exposé à Internet non mis à jour ou l'utilisation d'identifiants volés constituent d'autres points de départ fréquents.

Qu'est-ce que le « pass-the-hash » et comment permet-il le déplacement latéral ?

La technique « Pass-the-hash » consiste à réutiliser un hachage de mot de passe capturé pour s'authentifier sur un autre système sans jamais avoir besoin du mot de passe en clair. Comme de nombreux systèmes acceptent directement ce hachage, un pirate qui en vole un peut usurper l'identité de cet utilisateur ailleurs sur le réseau.

Comment la microsegmentation empêche-t-elle les mouvements latéraux ?

La microsegmentation divise le réseau en petites zones isolées et applique des règles entre celles-ci, de sorte qu'un appareil compromis ne peut accéder qu'aux systèmes autorisés par sa zone. Un attaquant présent dans un segment ne peut pas accéder librement aux hôtes d'un autre segment.

Est-il possible de détecter les mouvements latéraux sans qu'un agent soit installé sur chaque appareil ?

Oui. L'inspection en ligne au niveau du réseau surveille le trafic entre les hôtes afin d'identifier les comportements suspects qu'il génère (signatures indiquant une collecte d'identifiants, utilisation inhabituelle des protocoles « est-ouest », logiciels malveillants en transit) ; la détection ne dépend donc pas de la présence d'un agent sur chaque terminal.

En savoir plus sur la mobilité latérale

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la mobilité latérale, voici quelques articles qui méritent d'être consultés ensuite.