Deutsch
Menü

Was ist Lateral Movement?

Vorgehen eines in das Netzwerk einer Organisation eingedrungenen Angreifers, der vom zuerst übernommenen Endgerät aus mit gestohlenen Zugangsdaten oder legitimen Verwaltungswerkzeugen die Kompromittierung nacheinander auf weitere Endgeräte und Server ausdehnt. Es wird auch seitliche Ausbreitung genannt und dient dazu, sich den Zieldaten oder Systemen mit Administratorrechten zu nähern. Abgewehrt und erkannt wird es durch je Endgerät unterschiedliche Administratorpasswörter, das Blockieren unnötiger Verbindungen zwischen Endgeräten (Mikrosegmentierung), die Verwaltung privilegierter Konten, die Überwachung von Authentifizierungslogs usw.

Japanische Bezeichnung: ラテラルムーブメント

„Lateral Movement“ kommt in 3 Übungsfragen aus 1 Themen vor, z. B. Cyberangriffe und Abwehr in der Praxis.

Fachgebiet: Cyberangriffe und Abwehr in der Praxis

Jetzt üben: Fragen zu Lateral Movement

Welche Maßnahme ist am besten geeignet, um „Lateral Movement“ zu erschweren, also dass sich eine Kompromittierung von einem übernommenen Mitarbeiter-PC auf andere interne PCs und Server ausbreitet?

  1. AFür jeden PC ein anderes Passwort des lokalen Administrators festlegen und unnötige Verbindungen zwischen PCs (etwa Dateifreigaben) blockieren
  2. BUm den Verwaltungsaufwand zu senken, die Passwörter der lokalen Administratoren auf allen PCs auf denselben langen, komplexen Wert setzen
  3. CDie Regeln der Firewall an der Grenze zum Internet verschärfen und nur die von außen eingehenden Verbindungen noch feiner beschränken
Antwort und Erläuterung anzeigen

Antwort: A. Für jeden PC ein anderes Passwort des lokalen Administrators festlegen und unnötige Verbindungen zwischen PCs (etwa Dateifreigaben) blockieren

Ein eingedrungener Angreifer stiehlt auf dem übernommenen PC Zugangsdaten und verbindet sich nacheinander mit weiteren PCs und Servern, auf denen diese gültig sind, um sich wichtigen Systemen zu nähern. Verwenden alle PCs dasselbe Passwort des lokalen Administrators, genügen die auf einem PC gestohlenen Daten für den Zugang zu allen PCs; deshalb werden Mechanismen eingesetzt, die für jeden PC automatisch einen eigenen Wert setzen (etwa LAPS unter Windows). Außerdem müssen PCs untereinander normalerweise keine Dateifreigaben oder Fernverwaltung nutzen; werden diese Verbindungen mit Netzwerk- oder Host-Firewalls blockiert und auch die Verbindungen zwischen Servern auf das Nötige beschränkt (Mikrosegmentierung), lässt sich die Ausbreitung einer Kompromittierung verringern. Die Perimeterverteidigung kann die Bewegung eines bereits im Inneren befindlichen Angreifers (Ost-West-Verkehr) nicht stoppen.

„Lateral Movement“ in den Erläuterungen

Fragen mit „Lateral Movement“ (3)

  1. Welche Maßnahme ist am besten geeignet, um „Lateral Movement“ zu erschweren, also dass sich eine Kompromittierung von einem übernommenen Mitarbeiter-PC auf andere interne PCs und Server ausbreitet?
  2. MITRE ATT&CK ist eine Wissensbasis, die in realen Angriffen beobachtete Vorgehensweisen in „Taktiken“ (Tactics), die das Ziel des Angreifers beschreiben, und „Techniken“ (Techniques), die die konkreten Methoden zum Erreichen dieses Ziels beschreiben, gliedert. Welche Zuordnung eines beobachteten Verhaltens zu einer Taktik ist richtig?
  3. Auf einem internen Dateiserver werden „Köder“-Dateien, die im Arbeitsalltag niemand verwendet, und ein Köder-Administratorkonto, das in keinem System genutzt wird, abgelegt, und Zugriffe darauf werden überwacht. Was ist der Hauptvorteil dieser Maßnahme?

Verwandte Begriffe

MITRE ATT&CK Cyber Kill Chain Digitale Forensik EDR (Endpoint Detection and Response) Incident Response Intrusion Detection System (IDS) IoC (Indicator of Compromise) Lieferkettenangriff (Supply-Chain-Angriff) Penetrationstest SBOM (Software Bill of Materials)

Zur Glossarübersicht