lateral movement

Lateral movement (ruch boczny) to przemieszczanie się atakującego między systemami i kontami wewnątrz sieci, do której już się dostał. MITRE ATT&CK opisuje tę taktykę (TA0008) jako techniki służące do wejścia na zdalne systemy w sieci i przejęcia nad nimi kontroli ^[1]. Celem są zwykle cenniejsze zasoby i wyższe uprawnienia niż te, które dało pierwsze włamanie. Lateral movement występuje jako osobny etap w opisach ataków APT, między eskalacją uprawnień a wyszukiwaniem zasobów i eksfiltracją danych ^[6].

Jak działa

Pierwszy przejęty komputer lub konto rzadko jest celem samym w sobie. Atakujący rozpoznaje sieć, zbiera dane uwierzytelniające i używa ich, żeby zalogować się na kolejne maszyny. Kolejność etapów w typowym ataku APT pokazuje schemat poniżej ^[6].

RYS. 1Miejsce lateral movement w ataku APT

Sekurak zauważa, że lateral movement w środowiskach Active Directory bardzo rzadko opiera się na podatnościach w rozumieniu bazy CVE; znacznie częściej wynika z nadużycia wbudowanych mechanizmów administracyjnych ^[4]. Atakujący loguje się tak jak administrator, tymi samymi narzędziami. To zbliża ruch boczny do techniki living off the land (LotL).

Odmiany

ATT&CK wymienia w tej taktyce dziewięć technik ^[1]. Najczęściej omawiane zestawia tabela.

Technika T1021 obejmuje między innymi protokół RDP, udziały SMB, SSH, VNC i Windows Remote Management ^[2]. WinRM według Sekuraka nie jest samodzielnym narzędziem, lecz warstwą transportu dla zdalnych operacji administracyjnych, działającą domyślnie na portach 5985/TCP (HTTP) i 5986/TCP (HTTPS) ^[4].

Technika T1550 pozwala przejść na inny system bez znajomości hasła. MITRE opisuje ją jako użycie skrótów haseł, biletów Kerberos i tokenów dostępu aplikacji, co omija zwykłą kontrolę dostępu ^[3]. Podtechniki to pass-the-hash, pass-the-ticket, token dostępu aplikacji i ciasteczko sesji webowej ^[3], czyli skradziony token sesyjny.

W WordPressie

Strona WordPress nie jest siecią firmową, ale mechanizm ruchu bocznego działa także na serwerze WWW. Dokumentacja WordPressa ostrzega: jeśli strona stoi na serwerze współdzielonym z innymi witrynami i któraś z nich zostanie przejęta, twoja może zostać przejęta także, nawet jeśli stosujesz wszystkie zalecenia ^[7]. Na hostingu współdzielonym przejście z jednej witryny na sąsiednie w tym samym koncie opisuje hasło cross-site contamination.

Drugą drogą są dane dostępowe. Plik wp-config.php zawiera hasło do bazy danych, a panel administratora bywa chroniony tym samym hasłem co konto hostingowe albo poczta. Kto przejmie jedno z nich, próbuje zalogować się dalej ważnym kontem, co odpowiada technice T1021 ^[2].

Dokumentacja podaje, że do zwykłej pracy WordPressa użytkownik bazy MySQL potrzebuje tylko uprawnień SELECT, INSERT, UPDATE i DELETE ^[7]. Ostrzega jednak, że niektóre instalacje wtyczek i duże aktualizacje wymagają czasowo uprawnień takich jak DROP i ALTER, więc odbieranie ich wymaga dobrych kopii zapasowych ^[7].

Zagrożenia i skutki

Ruch boczny zamienia mały incydent w duży. Niebezpiecznik, omawiając raport M-Trends 2026 firmy Mandiant, podaje, że mediana czasu od infekcji do przekazania dostępu przez brokerów początkowego dostępu operatorom ransomware spadła z 8 godzin w 2022 roku do 22 sekund w 2025 roku ^[5]. Według tego omówienia alert o „nisko-priorytetowym” malware z przeglądarki trzeba traktować jako krytyczny, bo już po kilku minutach napastnik może zacząć lateral movement ^[5].

Zjawisko opisują hasła broker początkowego dostępu i czas przebywania atakującego w sieci. Im dłużej atakujący pozostaje niezauważony, tym więcej systemów obejmuje.

Jak się bronić

Obrona polega na tym, żeby jedno przejęte konto lub serwer nie otwierało drogi do pozostałych:

• Segmentacja sieci i mikrosegmentacja ograniczają, z którymi systemami można się w ogóle połączyć; MITRE wymienia ograniczenie dostępu do zasobów przez sieć jako środek dla T1021 ^[2].
• Uwierzytelnianie wieloskładnikowe na usługach zdalnych jest wśród środków zalecanych przez MITRE dla T1021 ^[2].
• Zasada najmniejszych uprawnień i zarządzanie kontami uprzywilejowanymi ograniczają użyteczność skradzionych skrótów i tokenów ^[3].
• Osobne hasła do panelu WordPressa, hostingu, bazy i poczty.

Sekurak radzi przy wykrywaniu znać wzorzec zwykłej pracy administratorów, ograniczać lokalne uprawnienia administracyjne i łączyć zdarzenia z wielu systemów zamiast analizować pojedyncze logi ^[4]. Samo użycie WinRM rzadko jest sygnałem incydentu; podejrzany jest nietypowy kontekst: nowy host, nowy użytkownik, nowa relacja ^[4]. Do takiej korelacji służą SIEM i EDR, a model Zero Trust zakłada, że żadne połączenie wewnątrz sieci nie jest zaufane z góry.