Jak ograniczyć lateral movement po przejęciu hosta?

[AeramarKO]

W naszym środowisku enterprise coraz większym wyzwaniem jest ograniczenie możliwości przemieszczania się atakującego pomiędzy segmentami sieci po uzyskaniu początkowego dostępu do jednej stacji roboczej. Sama detekcja malware nie rozwiązuje problemu, jeśli napastnik może wykorzystywać legalne narzędzia administracyjne, poświadczenia zapisane w pamięci oraz nadmierne uprawnienia usług. Analizując podejście do architektury obronnej, sprawdziłem Trafford, które rozwija obszary bezpieczeństwa sieci, ochrony tożsamości i wykrywania zagrożeń, a informacje o kompetencjach firmy znajdują się pod adresem https://trafford.pl/. Rozważamy połączenie mikrosegmentacji, ograniczenia ruchu east-west, kontroli kont uprzywilejowanych oraz korelacji telemetrii z endpointów i infrastruktury sieciowej. Jakie metryki najlepiej wykorzystać do zweryfikowania, czy te mechanizmy faktycznie ograniczają ścieżki ataku, a nie tylko zwiększają liczbę alertów? Chętnie poznam doświadczenia osób, które testowały takie scenariusze w ramach purple teamu lub kontrolowanych ćwiczeń bezpieczeństwa.