조직의 네트워크에 침입한 공격자가 처음 탈취한 단말을 거점으로, 훔친 인증 정보나 정규 관리용 도구를 사용하여 다른 단말이나 서버로 차례로 침해를 넓히는 것. 수평 이동이라고도 불리며, 목적한 데이터나 관리자 권한을 가진 시스템에 다가가기 위해 수행된다. 단말마다 다른 관리자 비밀번호, 단말끼리의 불필요한 통신 차단(마이크로 세그먼테이션), 특권 계정의 관리, 인증 로그의 감시 등으로 막고 탐지한다.
일본어 명칭: ラテラルムーブメント
측면 이동(Lateral Movement)은(는) 사이버 공격과 방어의 실무 등 1개 분야의 연습 문제 3개에 나와요.
분야: 사이버 공격과 방어의 실무
정답: A. PC마다 로컬 관리자 비밀번호를 서로 다른 값으로 하고, PC끼리의 불필요한 통신(파일 공유 등)을 차단한다
침입한 공격자는 탈취한 PC에서 인증 정보를 훔치고, 그 인증 정보를 쓸 수 있는 다른 PC나 서버에 차례로 접속하여 중요한 시스템에 다가갑니다. 모든 PC에서 같은 로컬 관리자 비밀번호를 사용하면 한 대에서 훔친 정보만으로 모든 PC에 들어갈 수 있으므로, PC마다 다른 값을 자동으로 설정하는 구조(Windows의 LAPS 등)가 사용됩니다. 또한 PC끼리 파일 공유나 원격 관리 통신을 할 필요는 보통 없으므로, 그 통신을 네트워크나 단말의 방화벽으로 차단하고 서버 간 통신도 필요한 것으로만 좁히면(마이크로 세그먼테이션) 침해의 확산을 줄일 수 있습니다. 경계 방어는 이미 내부에 있는 공격자의 내부 이동(동서 방향 통신)을 막지 못합니다.
다른 서버로 접속을 넓히는 행동은 측면 이동(Lateral Movement), 외부로 데이터를 보내는 행동은 유출(Exfiltration) 전술에 해당합니다.
MITRE ATT&CK는 실제 공격에서 관측된 수법을, 공격자의 목적을 나타내는 '전술(Tactics)'과…침입한 공격자는 관리자 계정이나 중요해 보이는 파일을 찾아 내부를 조사하므로, 거기에 미끼를 섞어 두면 측면 이동의 이른 단계에서 알아챌 가능성이 있습니다.
사내 파일 서버에 업무에서는 아무도 사용하지 않는 '미끼' 파일이나, 어느 시스템에서도 사용되지 않는 미끼…MITRE ATT&CK 공급망 공격(Supply Chain Attack) 디지털 포렌식(Digital Forensics) 보안 관제 센터(Security Operations Center) 사이버 킬 체인(Cyber Kill Chain) 인시던트 대응 제로 트러스트 침입 탐지 시스템(IDS) 침투 테스트(Penetration Testing) EDR(엔드포인트 탐지 및 대응)