La phase de déplacement latéral d’une attaque est celle où l’assaillant cherche d’autres systèmes à compromettre sur le réseau.
En général, l’acteur menaçant accède à un système et, à partir de là, cherche d’autres cibles sur le réseau, comme des serveurs ou d’autres points d’extrémité qu’il peut vouloir compromettre, utiliser pour la persistance ou qui contiennent des données intéressantes.
Le déplacement latéral survient après l’obtention de l’accès initial et peut permettre à l’acteur de la menace d’obtenir des informations d’identification supplémentaires pour accéder à d’autres systèmes sur le réseau, ou de découvrir d’autres systèmes à compromettre ou des données intéressantes.
Il peut également permettre à l’acteur de la menace d’identifier un mécanisme de persistance pour s’assurer qu’il ne perd pas l’accès au réseau, ou aux systèmes ou applications du réseau pouvant être utilisés pour l’élévation des privilèges.
Bien que je ne sois pas sûre de la véritable origine de l’expression, le déplacement latéral représente l’idée que l’acteur de la menace n’accède pas seulement au système victime initial, mais qu’il peut également accéder à d’autres ressources, telles que des applications, des données ou des machines, sur le réseau.
Le déplacement latéral se produit avant le dépôt de la charge utile finale, qu’il s’agisse d’un ransomware, d’un malware utilisé avec le soutien d’un État ou d’autres outils malveillants.
Par conséquent, la détection des déplacements latéraux est essentielle pour les défenseurs, car elle peut leur permettre d’arrêter une attaque avant que des dommages supplémentaires ne soient causés ou que des données supplémentaires ne soient acquises.