Lateral Movement in informatica: in cosa consiste

Il movimento laterale è la tattica con cui un attaccante, ottenuto un primo accesso alla vostra rete, la percorre da un sistema all’altro fino ad arrivare ai dati o ai servizi che gli interessano davvero. La macchina compromessa per prima non è quasi mai l’obiettivo: è il punto da cui si guarda intorno.

Questa distinzione è la ragione per cui due incidenti che iniziano nello stesso modo possono finire in modi molto diversi. Una postazione infetta e isolata si bonifica in una giornata. La stessa postazione, dentro una rete piatta e con credenziali riutilizzate, diventa il primo passo di una compromissione che coinvolge i server, i backup e gli archivi. Ciò che separa i due scenari non è la vulnerabilità iniziale, ma lo spazio di manovra che l’attaccante trova dopo.

1. Che cosa significa movimento laterale
2. Le fasi dello spostamento laterale
3. Perché un elenco di vulnerabilità non dice fin dove si arriva
4. Come si rileva il movimento in corso
5. Come ridurre lo spazio di manovra dell’attaccante

Che cosa significa movimento laterale

In sicurezza informatica il movimento laterale indica l’insieme delle tecniche con cui un attaccante si diffonde all’interno di una rete dopo il primo accesso, spostandosi progressivamente verso risorse di valore più alto. L’obiettivo non è solo arrivare da qualche parte: è arrivarci mantenendo un accesso stabile e possibilmente privilegi elevati.

La caratteristica che rende questa fase difficile da affrontare è che raramente richiede nuovi exploit. L’attaccante non forza altre porte, usa quelle che nella vostra rete sono già aperte per motivi legittimi. Utenti con accesso a più sistemi, server che comunicano tra loro senza controlli, account di servizio con privilegi ereditati da configurazioni vecchie: sono tutte relazioni di fiducia costruite per far funzionare l’infrastruttura, e sono esattamente ciò che viene sfruttato.

Da qui deriva anche la difficoltà di rilevamento. Le tecniche cosiddette living off the land, che impiegano strumenti di amministrazione già presenti nei sistemi, producono traffico e processi indistinguibili da quelli normali. È per questo che il movimento laterale è un tratto distintivo delle minacce persistenti avanzate, gli APT, dove l’attaccante resta nella rete per mesi senza essere notato.

Le fasi dello spostamento laterale

La sequenza varia con la maturità dell’attaccante e con la struttura della rete, ma lo schema è ricorrente e conoscerlo serve a capire dove si può intervenire.

L’accesso iniziale occupa pochi minuti, le fasi centrali possono durare settimane: è nell’intervallo tra le due che si decide l’impatto finale dell’attacco.

Ingresso iniziale

L’attaccante ottiene un primo punto d’appoggio. Le vie più frequenti sono il phishing, lo sfruttamento di un exploit su un servizio esposto e l’uso di credenziali già in circolazione. In questa fase l’obiettivo dell’attaccante non è fare danni, ma non farsi notare.

Esplorazione

Segue una fase di osservazione. L’attaccante deve capire dove si trova: quali autorizzazioni ha l’account che controlla, quali sistemi sono raggiungibili, dove sono i controller di dominio, quali barriere esistono tra il segmento in cui è entrato e il resto della rete. Impara anche le convenzioni interne, dai nomi delle condivisioni all’organigramma, perché servono a muoversi senza generare errori sospetti. È la stessa mappatura che un vulnerability assessment interno produce in modo controllato, con la differenza che voi potete leggerne il risultato.

Escalation dei privilegi

Per raggiungere i sistemi che contano servono privilegi più alti di quelli dell’utenza compromessa. La privilege escalation passa da configurazioni permissive, servizi eseguiti con account amministrativi, oppure dal recupero di credenziali dalla memoria dei sistemi già controllati. Tecniche come il riuso di hash di password o il furto di token di sessione permettono di autenticarsi altrove senza conoscere la password in chiaro: è la ragione per cui una singola postazione compromessa può valere l’accesso a decine di altre.

Spostamento

Con i privilegi adeguati l’attaccante raggiunge nuovi sistemi, spesso usando gli stessi protocolli di amministrazione remota impiegati dal vostro reparto IT. Ogni sistema conquistato allarga la base per il passaggio successivo.

Persistenza

Perché l’accesso sopravviva a un riavvio, a un cambio password o alla bonifica del primo endpoint, l’attaccante lascia meccanismi di rientro e canali di comunicazione verso l’esterno, gestiti da infrastrutture di command and control. È il motivo per cui chiudere la vulnerabilità sfruttata all’ingresso non chiude l’incidente.

Esfiltrazione o impatto finale

Solo all’ultimo l’attaccante agisce in modo visibile: porta fuori i dati, oppure cifra i sistemi. Quando l’impatto diventa evidente, il movimento laterale è già finito da tempo.

Perché un elenco di vulnerabilità non dice fin dove si arriva

Un vulnerability assessment vi restituisce l’inventario delle debolezze presenti sui vostri asset, con una valutazione di severità per ciascuna. È il punto di partenza indispensabile di qualsiasi programma di sicurezza, e su quel materiale si costruisce la prioritizzazione degli interventi.

Quello che l’inventario non contiene è la risposta alla domanda che vi verrà posta dopo un incidente. Non “quante vulnerabilità abbiamo”, ma “partendo da questa, fin dove si arriva”. Due vulnerabilità con la stessa severità possono avere conseguenze incomparabili: una sta su una macchina isolata in una rete segmentata, l’altra su un server che condivide credenziali con l’ambiente di produzione.

Rispondere richiede di percorrere la catena, non di elencarne gli anelli. In un penetration test di rete la fase successiva allo sfruttamento viene condotta in modo controllato e concordato: si verifica quali sistemi diventano effettivamente raggiungibili, quali credenziali si recuperano, dove la segmentazione tiene e dove è solo dichiarata. Il risultato non è una lista più lunga, è una mappa dei percorsi realmente praticabili nella vostra infrastruttura.

Questa differenza ha anche un riscontro normativo. Tra le misure di sicurezza definite dall’Agenzia per la Cybersicurezza Nazionale, la misura ID.RA-01 richiede che le vulnerabilità negli asset siano identificate, confermate e registrate. Il termine “confermate” è ciò che distingue una vulnerabilità validata dall’output di una scansione automatica, che notoriamente produce anche falsi positivi.

Come si rileva il movimento in corso

Rilevare uno spostamento laterale significa distinguere attività legittime da attività malevole che usano gli stessi strumenti. Non esiste una firma da cercare: si lavora sulle anomalie rispetto a un comportamento atteso.

Il primo requisito è avere quel comportamento atteso documentato, cosa che presuppone una raccolta di log centralizzata e utilizzabile. Senza un log management funzionante, l’analisi comportamentale non ha materiale su cui lavorare e la ricostruzione post-incidente diventa impossibile. Da lì si osservano i segnali ricorrenti:

• autenticazioni riuscite da account che non hanno mai avuto motivo di accedere a un certo sistema
• uso di protocolli di amministrazione remota in orari o direzioni insolite
• modifiche alle configurazioni di sicurezza e ai criteri di audit
• connessioni in uscita verso destinazioni mai contattate prima

A questo si aggiungono le tecniche di inganno, con asset esca che non hanno alcun motivo legittimo di essere interrogati: qualsiasi interazione con essi è per definizione sospetta. Integrare questi segnali in un’attività strutturata di threat hunting è ciò che permette di intercettare una compromissione ancora in corso, invece di scoprirla dal riscatto.

Come ridurre lo spazio di manovra dell’attaccante

Impedire ogni accesso iniziale non è un obiettivo realistico. Rendere inutile l’accesso iniziale, invece, lo è: se dalla postazione compromessa non si raggiunge nulla, l’incidente resta un incidente.

La leva con il rapporto migliore tra costo e risultato è la segmentazione di rete, perché agisce direttamente sui percorsi disponibili invece che sui singoli sistemi. Accanto a questa, il principio del privilegio minimo applicato con rigore agli account di servizio, che sono quelli dove i privilegi si accumulano senza che nessuno li riveda, e l’autenticazione a più fattori estesa agli accessi amministrativi interni e non solo a quelli dal perimetro.

Sul fronte degli aggiornamenti, il criterio va aggiornato rispetto a una prassi ancora diffusa. Per le vulnerabilità con exploit pubblico la finestra utile si misura in ore, non in settimane: una gestione delle patch con procedure di emergenza distinte dal ciclo ordinario è oggi un requisito, non un livello avanzato di maturità.

Resta un punto che nessuna tecnologia risolve. Le case history italiane degli ultimi anni, dagli attacchi alle aziende sanitarie a quelli alle amministrazioni regionali, mostrano lo stesso schema: un ingresso poco significativo, giorni o settimane di movimento non rilevato, un impatto finale su tutta l’infrastruttura. Nell’incidente che ha coinvolto l’ASP di Messina il punto critico non è stato il vettore iniziale, ma quanto l’attaccante ha potuto muoversi prima di essere fermato. Verificare periodicamente quello spazio di manovra, con verifiche condotte dall’esterno del vostro reparto IT, è l’unico modo per sapere se le misure che avete adottato funzionano davvero o esistono solo sulla carta.