Détecter les mouvements latéraux sur le réseau avec des outils natifs
IntroductionLes mouvements latéraux désignent les techniques utilisées par un attaquant pour se déplacer d’un système à un autre après une compromission initiale. Détecter ces déplacements est essentiel pour stopper une attaque en cours et limiter sa propagation. Cette procédure exploite des outils Windows et réseaux pour identifier ces comportements.
Prérequis• Système Windows intégré à un domaine
• Accès aux journaux de sécurité et d’audit
• Outils comme PowerShell, Sysmon et Observateur d’événements
Procédure• Étape #1 : Activer la journalisation des connexions à distance
• Étape #2 : Déployer Sysmon pour enrichir l’audit des mouvements
• Étape #3 : Identifier les connexions RDP et SMB entre postes
• Étape #4 : Corréler les accès anormaux dans les journaux
• Étape #5 : Mettre en place des alertes en cas de comportement suspect
Niveau de difficulté• Étape #1 : Moyen
• Étape #2 : Difficile
• Étape #3 : Moyen
• Étape #4 : Difficile
• Étape #5 : Difficile
Les Avantages• Étape #1 : Active la détection sur les postes cibles
• Étape #2 : Fournit une visibilité très détaillée
• Étape #3 : Permet d’identifier des canaux de propagation
• Étape #4 : Met en évidence les pivots et comptes compromis
• Étape #5 : Renforce la capacité de réaction rapide
Les Inconvénients• Étape #1 : Nécessite un paramétrage GPO ou local
• Étape #2 : Demande un déploiement et une configuration fine
• Étape #3 : Génère de nombreux événements
• Étape #4 : Lecture des journaux fastidieuse
• Étape #5 : Alertes utiles seulement si bien calibrées
Étape #1
Ouvrir
Code:
gpedit.msc
Naviguer vers Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Stratégie d’audit
Activer Audit des connexions réussies/échouées
Appliquer la GPO aux postes critiques Étape #2 Télécharger et installer Sysmon via
Code:
Sysinternals
Code:
3
Code:
10
Code:
11
Code:
Get-WinEvent -LogName Security | ? {$.Id -eq 4624 -and $.Properties[8].Value -eq "10"}
Code:
Get-SmbSession
Code:
Event Viewer
Code:
4624
Code:
4648
Code:
4672
Code:
4776
AstuceUtilisez
Code:
LogParser
Code:
Kusto Query Language
Mise en gardeUn comportement légitime peut ressembler à un mouvement latéral. Croisez les logs avec des informations contextuelles avant toute action.
ConseilSurveillez les connexions RDP et les sessions d’administration à distance sur des horaires inhabituels à l’aide de
Code:
Get-WinEvent
Solutions alternatives• Détection mouvement latéral Windows
• Sysmon mouvement latéral analyse
• PowerShell detection RDP latéral
Références utiles• Support Microsoft
• Microsoft Learn
• Recherche GitHub
ConclusionLa détection des mouvements latéraux est cruciale pour briser la chaîne d’attaque après compromission initiale. Combinée à une journalisation renforcée, elle permet de remonter à l’origine d’un incident et d’agir avant qu’un attaquant n’atteigne ses objectifs finaux.
