Oldalirányú mozgási útvonalak (LMP-k) megismerése és vizsgálata a Microsoft Defender for Identity használatával
Az oldalirányú mozgás az, amikor a támadó nem bizalmas fiókokat használ a bizalmas fiókokhoz való hozzáféréshez az egész hálózaton. Az oldalirányú mozgást a támadók a hálózat azon bizalmas fiókjainak és gépeinek azonosítására és elérésére használják, amelyek a fiókokban, csoportokban és gépeken tárolt bejelentkezési hitelesítő adatokat osztják meg. Ha egy támadó sikeres oldalirányú mozgást végez a kulcsfontosságú célok felé, a támadó kihasználhatja az előnyöket, és hozzáférhet a tartományvezérlőkhöz. Az oldalirányú mozgásos támadásokat a Microsoft Defender identitásbiztonsági riasztásaiban ismertetett számos módszerrel hajtják végre.
A Microsoft Defender for Identity biztonsági elemzéseinek egyik fő összetevője az oldalirányú mozgási útvonalak vagy LMP-k. A Defender for Identity LMP-k vizuális útmutatók, amelyek segítségével gyorsan megértheti és azonosíthatja, hogyan mozoghatnak a támadók oldalirányban a hálózaton belül. A számítógépes támadási ölési lánc oldalirányú mozgásának célja, hogy a támadók bizalmas fiókokat szerezzenek és veszélyeztessenek a nem bizalmas fiókok használatával. A bizalmas fiókok veszélyeztetése újabb lépéssel közelebb kerül a végső céljukhoz, a tartomány dominanciájához. A támadások sikerességének megállítása érdekében a Defender for Identity LMP-k könnyen értelmezhető, közvetlen vizuális útmutatást nyújtanak a legkiszolgáltatottabb, legérzékenyebb fiókokhoz. Az LMP-k segítségével a jövőben mérsékelheti és megelőzheti ezeket a kockázatokat, és bezárhatja a támadók hozzáférését a tartományi dominancia elérése előtt.
Például:
Az oldalirányú mozgásos támadásokat általában számos különböző technikával hajtják végre. A támadók által leggyakrabban használt módszerek közé tartoznak a hitelesítő adatok ellopása és a jegy átadása. Mindkét módszer esetében a támadók a nem bizalmas fiókokat használják az oldalirányú áthelyezéshez, mivel kihasználják a nem bizalmas gépeket, amelyek bizalmas fiókokkal, csoportokkal és számítógépekkel osztják meg a tárolt bejelentkezési hitelesítő adatokat.
Az alábbi videóból többet is megtudhat az oldalirányú mozgásvonalak csökkentéséről a Defender for Identity használatával:
Hol találom a Defender for Identity LMP-ket?
A Defender for Identity által az LMP-ben talált összes identitás oldalirányú mozgási útvonalinformációval rendelkezik a Szervezet lap Figyelve lapján. Például:
Az egyes entitások LMP-je az entitás érzékenységétől függően különböző információkat biztosít:
- Bizalmas felhasználók – a felhasználóhoz vezető potenciális LMP-k jelennek meg.
- Nem bizalmas felhasználók és számítógépek – az entitáshoz kapcsolódó potenciális LMP-k megjelennek.
Minden alkalommal, amikor a lap ki van jelölve, a Defender for Identity megjeleníti a legutóbb felfedezett LMP-t. A rendszer minden lehetséges LMP-t a felderítést követő 48 órára ment. Az LMP előzményei elérhetők. A múltban felfedezett régebbi LMP-k megtekintéséhez válassza a Dátum kiválasztása lehetőséget. Az Elérési út kezdeményezője lehetőséget választva másik felhasználót is választhat, aki kezdeményezte az LMP-t.
LMP-felderítés speciális vadászattal
Az oldalirányú mozgási útvonal tevékenységeinek proaktív felderítéséhez speciális keresési lekérdezést futtathat.
Íme egy példa egy ilyen lekérdezésre:
A speciális keresési lekérdezések futtatásával kapcsolatos utasításokért tekintse meg a Microsoft Defender XDR-ben a speciális vadászattal rendelkező fenyegetések proaktív keresését ismertető cikket.
LMP-hez kapcsolódó entitások
Az LMP mostantól közvetlenül is segítséget nyújthat a vizsgálati folyamathoz. A Defender for Identity biztonsági riasztási lista az egyes lehetséges oldalirányú mozgási útvonalakban érintett kapcsolódó entitásokat tartalmazza. A bizonyítékok listája közvetlenül segíti a biztonsági válaszcsapatot a biztonsági riasztás és/vagy a kapcsolódó entitások vizsgálatának fontosságának növelésében vagy csökkentésében. Ha például a Jegy átadása riasztást ad ki, a forrásszámítógép, a feltört felhasználó és a célszámítógép, amelyről az ellopott jegyet használták, mind része a bizalmas felhasználóhoz vezető lehetséges oldalirányú mozgási útvonalnak. Az észlelt LMP megléte miatt a riasztás kivizsgálása és a gyanús felhasználó figyelése még fontosabb, hogy megakadályozza a támadó további oldalirányú mozgatását. A nyomon követhető bizonyítékokat az LMP-k biztosítják, hogy könnyebben és gyorsabban tudja megakadályozni, hogy a támadók továbblépjenek a hálózaton.
Oldalirányú mozgási útvonalak biztonsági felmérése
A Microsoft Defender for Identity folyamatosan figyeli a környezetet, hogy a bizalmas fiókokat a legkockázatosabb oldalirányú mozgási útvonalakkal azonosítsa, amelyek biztonsági kockázatot jelentenek, és jelentéseket készít ezekről a fiókokról, hogy segítsen a környezet kezelésében. Az elérési utak akkor minősülnek kockázatosnak, ha három vagy több nem bizalmas fiókkal rendelkeznek, amelyek a bizalmas fiókot rosszindulatú szereplők hitelesítő adatainak ellopásával tehetik elérhetővé. Ha szeretné felderíteni, hogy melyik bizalmas fiók rendelkezik kockázatos oldalirányú mozgási útvonalokkal, tekintse át a legkockázatosabb oldalirányú mozgási útvonalak (LMP) biztonsági felmérését. A javaslatok alapján eltávolíthatja az entitást a csoportból, vagy eltávolíthatja az entitás helyi rendszergazdai engedélyeit a megadott eszközről.
További információ: Biztonsági értékelés: A legkockázatosabb oldalirányú mozgási útvonalak (LMP).
Megelőző ajánlott eljárások
A biztonsági elemzések soha nem késők a következő támadás megelőzéséhez és a károk elhárításához. Ezért a támadás vizsgálata még a tartomány dominanciájának fázisában is egy másik, de fontos példát kínál. A biztonsági riasztások , például a távoli kódfuttatás vizsgálata során, ha a riasztás valódi pozitív, akkor előfordulhat, hogy a tartományvezérlő már sérült. Az LMP-k azonban tájékoztatják, hogy hol szereztek jogosultságokat a támadók, és hogy milyen elérési utat használtak a hálózathoz. Az Ily módon használt LMP-k kulcsfontosságú elemzéseket is nyújtanak a szervizelés módjáról.
A szervezeten belüli oldalirányú mozgások megelőzésének legjobb módja annak biztosítása, hogy a bizalmas felhasználók csak rendszergazdai hitelesítő adataikat használják a megerősített számítógépekre való bejelentkezéskor. A példában ellenőrizze, hogy az elérési út rendszergazdájának valóban hozzá kell-e férnie a megosztott számítógéphez. Ha hozzáférésre van szükségük, győződjön meg arról, hogy rendszergazdai hitelesítő adataiktól eltérő felhasználónévvel és jelszóval jelentkeznek be a megosztott számítógépre.
Ellenőrizze, hogy a felhasználók nem rendelkeznek-e szükségtelen rendszergazdai engedélyekkel. A példában ellenőrizze, hogy a megosztott csoportban mindenki igényel-e rendszergazdai jogosultságokat a közzétett számítógépen.
Győződjön meg arról, hogy a felhasználók csak a szükséges erőforrásokhoz férnek hozzá. A példában Ron Harper jelentősen kibővíti Nick Cowley kitettségét. Szükséges, hogy Ron Harper bekerüljön a csoportba? Léteznek alcsoportok, amelyek az oldalirányú mozgás expozíciójának minimalizálása érdekében hozhatók létre?
Tipp.
Ha az elmúlt 48 órában nem észlelhető egy entitás lehetséges oldalirányú mozgási útvonalának tevékenysége, válassza a Dátum kiválasztása lehetőséget, és ellenőrizze a korábbi lehetséges oldalirányú mozgási útvonalakat.
Fontos
Ha útmutatást szeretne adni arról, hogyan állíthatja be az ügyfeleket és a kiszolgálókat úgy, hogy a Defender for Identity végrehajtsa az oldalirányú mozgás útvonalának észleléséhez szükséges SAM-R műveleteket, olvassa el a Microsoft Defender for Identity konfigurálása a SAM felé irányuló távoli hívások indításához.
Oldalirányú mozgási útvonalak vizsgálata
Az LMP-k használatának és vizsgálatának több módja is van. A Microsoft Defender portálon keressen entitások szerint, majd vizsgálja meg az elérési utat vagy a tevékenységet.
A portálon keressen egy felhasználót. A Szervezetben megfigyelt területen (az Áttekintés és a Megfigyelt lapon is) láthatja, hogy a felhasználó felderítve van-e egy lehetséges LMP-ben.
Ha a felhasználót észleli, válassza a Szervezet lapon a Megfigyelve elemet, és válassza az Oldalirányú mozgási útvonalak lehetőséget.
A megjelenő gráf térképet biztosít a bizalmas felhasználó lehetséges elérési útjairól a 48 órás időszakban. A Dátum kiválasztása beállítással megjelenítheti az entitás korábbi oldalirányú mozgási útvonalának észlelésére szolgáló gráfot.
Tekintse át a grafikont, és ismerje meg, mit tudhat meg a bizalmas felhasználó hitelesítő adatainak kitettségéről. Az elérési úton például kövesse a Be van jelentkezve nyilakat , hogy lássa, hol jelentkezett be Nick a kiemelt hitelesítő adataival. Ebben az esetben Nick bizalmas hitelesítő adatait a rendszer a megjelenített számítógépre mentette. Most figyelje meg, hogy mely felhasználók jelentkeztek be a legnagyobb expozíciót és biztonsági rést okozó számítógépekre. Ebben a példában Elizabeth King képes hozzáférni az adott erőforrás felhasználói hitelesítő adataihoz.