Атака №9: Ескалация на привилегии и странично придвижване (Privilege Escalation & Lateral Movement)

Как атакуващите разширяват достъпа си вътре в средата

Обобщение – Ескалация на привилегии и странично придвижване (Privilege Escalation & Lateral Movement)

Как работи атаката

Първоначалният достъп рядко е крайната цел.
Атакуващите обикновено се опитват да разширят позицията си вътре в средата.

След като система или акаунт бъде компрометиран, следващата стъпка често е ескалация на привилегии (privilege escalation). получаване на по-високи права от първоначално наличните.

Това може да включва:

• използване на грешни конфигурации
• кражба на административни креденшъли
• злоупотреба с прекомерни права
• използване на кеширани сесии или токени

След увеличаване на привилегиите започва странично придвижване (lateral movement). придвижване между системи, акаунти и услуги с цел достигане до критични ресурси. Целта е устойчивост, видимост и по-широк контрол.

В много случаи придвижването се случва тихо чрез легитимни протоколи и инструменти, които вече се използват в средата.

Реални случаи

Тези два случая показват как първоначалният достъп може да се превърне в по-широк контрол върху средата чрез привилегировани акаунти, доверени връзки и недостатъчно ограничен достъп.

SolarWinds Orion (2020)

Сектор: Държавна администрация, технологии и големи организации

Как е започнал инцидентът?
Нападателите компрометират процеса по разпространение на SolarWinds Orion и включват злонамерен код в легитимни актуализации. Приблизително 18 000 клиенти инсталират засегната версия, но последващите операции са насочени към значително по-малък брой организации.

Какво е било компрометирано?
При избрани жертви са компрометирани идентификационни данни, административни акаунти и системи за управление на идентичността.

Как се е развила атаката?
Нападателите използват откраднати идентификационни данни, легитимни административни инструменти и доверени връзки, за да достигнат до допълнителни локални и cloud ресурси. В част от средите присъствието им остава незабелязано в продължение на месеци.

Оперативни и финансови последици

• продължителни разследвания и възстановяване;
• подмяна на идентификационни данни, сертификати и административни механизми;
• значителни оперативни, регулаторни и репутационни последствия.

Какво би могло да ограничи щетите?

• принцип на минималните привилегии;
• отделни стандартни и административни акаунти;
• наблюдение на идентичности, токени и административна активност;
• мрежова и идентичностна сегментация.

Colonial Pipeline (САЩ, 2021)

Сектор: Енергетика и критична инфраструктура

Как е започнал инцидентът?
Нападателите получават достъп чрез неактивен Virtual Private Network (VPN) акаунт, който остава достъпен и не е защитен с Multi-Factor Authentication (MFA).

Какво е било компрометирано?

• достъп до корпоративната информационна среда;
• приблизително 100 GB корпоративни данни;
• част от системите, поддържащи бизнес операциите.

Как се е развила атаката?
След първоначалния достъп нападателите извличат данни и разгръщат ransomware. Публичните данни не позволяват да бъде възстановен целият път на страничното придвижване, но достъпът е достатъчен, за да засегне корпоративните системи и да създаде сериозна оперативна несигурност.

Оперативни и финансови последици

• временно спиране на приблизително 5 500 мили, или около 8 850 km, тръбопроводна инфраструктура;
• нарушени доставки на гориво по източното крайбрежие на САЩ;
• изплатен откуп от приблизително 4,4 милиона щатски долара;
• около 2,3 милиона щатски долара по-късно са възстановени от американските власти.

Какво би могло да ограничи щетите?

• Multi-Factor Authentication (MFA) за отдалечен достъп;
• своевременно деактивиране на неизползвани акаунти;
• сегментация между корпоративната и оперативната среда;
• наблюдение за необичайни входове, движение на данни и административна активност.

Какво показват тези случаи?

При SolarWinds нападателите използват привилегирован достъп и доверени връзки, за да достигнат до допълнителни системи и cloud ресурси. При Colonial Pipeline един компрометиран Virtual Private Network (VPN) акаунт без Multi-Factor Authentication (MFA) предоставя начална точка към корпоративната среда, след което са извлечени приблизително 100 GB данни и е разгърнат ransomware.

И в двата случая щетите се увеличават след първоначалния достъп. Затова ограничаването на привилегиите, защитата на идентичностите, сегментацията и ранното откриване на необичайна активност са критични за прекъсване на атаката.

Кого таргетира най-често

Ескалацията на привилегии (privilege escalation) е насочена към среди, в които достъпът може да се разпространява.

Роли

• IT администратори
• инфраструктурни екипи
• domain администратори
• потребители с повишени права

Сектори

• enterprise среди
• здравеопазване
• финанси
• производство
• публичен сектор

Тип организации

• организации с плоски мрежи
• хибридни и cloud среди
• компании с legacy системи
• среди със слабо управление на идентичността

Колкото по-свързана е средата, толкова по-лесно става придвижването.

На какво разчита атаката

Ескалацията на привилегии (privilege escalation) е успешна, когато контролът върху достъпа е слаб или непоследователен.

Човешки фактор

• повторно използване на пароли
• лоша privilege хигиена
• прекомерно предоставени права

Технически пропуски

• слаба сегментация
• изложени административни инструменти
• липса на MFA
• несигурно съхранение на креденшъли

Процесни слабости

• липса на преглед на привилегии
• неясна собственост върху достъпа
• недостатъчен мониторинг
• забавено patching

Атакуващите разширяват достъпа си чрез злоупотреба с вече доверени връзки в средата.

Как се хваща

Откриването зависи от видимост върху идентичността и вътрешното поведение.

Какво може да забележи потребителят

• необичайно поведение на акаунт
• неочакван достъп до системи
• странни login заявки

Какво вижда IT екипът

• промени в привилегии
• вътрешно сканиране
• подозрителни remote връзки
• необичайни административни действия

Какво вижда SOC

• модели на вътрешна автентикация
• опити за ескалация на привилегии (privilege escalation)
• нетипична Kerberos или Active Directory активност
• движение между системи и акаунти

Колкото по-рано се засече вътрешното движение, толкова по-малък остава обхватът на компрометирането.

Как се ограничава въздействието

Ограничаването изисква бързо спиране на движението на атакуващия.

Основните действия включват:

• изолиране на засегнатите системи
• деактивиране на компрометирани акаунти
• ограничаване на привилегирован достъп
• смяна на административни креденшъли
• преглед на вътрешни връзки и сесии

Какво не помага:

• фокус само върху първоначалното устройство
• предположение, че достъпът е ограничен
• забавяне на смяната на креденшъли

Вътрешното придвижване (lateral movement) често продължава дълго след първоначалния пробив.

Какво реално помага

Ограничаването на страничното придвижване (lateral movement) изисква силен контрол върху идентичността и достъпа.

Хора

• осъзнатост за привилегирован достъп
• сигурни практики за креденшъли
• докладване на подозрителна активност

Процеси

• least privilege подход
• регулярни прегледи на достъпа
• стратегия за сегментация
• политики за привилегирован достъп

Технологии

• MFA
• PAM решения
• identity мониторинг
• EDR/XDR видимост
• SOC мониторинг

Атакуващите се движат чрез доверени връзки вътре в средата. Видимостта ограничава тази свобода.

Чести митове

„Ако едно устройство е компрометирано, щетата е ограничена“
„Административните акаунти вече са защитени“
„Вътрешният трафик е доверен“
„Ескалацията на привилегии се забелязва лесно“

В действителност страничното придвижване (lateral movement) често изглежда като нормална оперативна активност.

Атака №1: Фишинг и социално инженерство

Атака №2: Злоупотреба с акаунти и превземане на достъп

Атака №3: Компрометиране на бизнес имейли

Атака №4: Ransomware

Атака №5: Supply Chain Attack

Атака №6 – Insider Threat

Атака №7: Malware & Infostealers