Yanal Hareket Nedir?

Bir saldırının ilk adımı nadiren hedefe iner. Kimlik avıyla ele geçirilen makine çoğunlukla sıradan bir kullanıcının dizüstü bilgisayarıdır ve üzerinde değerli bir şey yoktur.

Değerli olan veritabanındadır, dosya sunucusundadır ya da yedeklerdedir. Saldırganın işi o noktaya kadar ilerlemektir ve bu ilerleme günler, bazen aylar sürer.

İlerleme Neye Dayanır

Hareketin yakıtı iki şeydir: erişilebilirlik ve kimlik bilgisi.

Erişilebilirlik ağ tasarımının verdiği şeydir. Kullanıcı bölümünden sunucu bölümüne geniş bir izin varsa, saldırgan ele geçirdiği makineden doğrudan denemeye başlar. Yönetim protokolleri ağın her yerinden açıksa mesafe daha da kısalır.

Kimlik bilgisi ise makinelerin üzerinde bulunur. Önbellekteki oturum belirteçleri, kaydedilmiş bağlantılar, betiklerin içine yazılmış parolalar ve her yerde aynı olan yerel yönetici hesabı en sık kullanılan basamaklardır.

Neden Zor Fark Edilir

Kullanılan araçların çoğu meşrudur. Uzak masaüstü, yönetim betikleri, dosya paylaşımı ve zamanlanmış görevler kurumun kendi araçlarıdır ve her gün kullanılır.

Trafiğin tamamı doğu-batı yöndedir. Sınırdaki cihaz bu bağlantıların hiçbirini görmez.

Ayırt edici olan davranış örüntüsüdür: bir kullanıcı makinesinin normalde hiç konuşmadığı sunuculara bağlanmaya başlaması, aynı hesabın kısa sürede çok sayıda makinede oturum açması ya da yönetim portlarına yapılan sıralı denemeler.

Sınırlama

Yanal hareketi tek başına durduran bir kontrol yoktur. Mesafeyi uzatan ve gürültüsünü artıran kontroller vardır:

• Bölümler arası trafiği daraltmak, özellikle kullanıcıdan sunucuya olan yönü.
• Yönetim protokollerini yalnız ayrı bir yönetim ağından kabul etmek.
• Yerel yönetici parolalarını makine başına farklılaştırmak.
• İç trafiği akış kayıtlarıyla izlemek ve normalden sapmayı ölçmek.

Bu kontrollerin ortak yanı, saldırganı görünür kılmalarıdır. Her ek adım, yakalanmak için yeni bir fırsat üretir.