Lateral movement detecteren

Zodra een aanvaller een voet aan de grond heeft, begint het interessante deel: bewegen van de eerste host naar datgene waarvoor ze eigenlijk kwamen. Die east-west-beweging laat sporen na als je weet welke events je moet koppelen.

Signalen om te koppelen

Lateral movement is zelden één rokend-pistool-event. Het komt naar boven uit correlatie:

1. Netwerk-logon-events (4624 type 3) vanaf ongebruikelijke bronnen
2. Aanmaken van een service of geplande taak op de bestemming
3. Kort daarna een remote procesaanmaak

Correleer over hosts heen, niet alleen binnen één host. Eén 4624 is ruis; een reeks ervan die een account door het netwerk volgt, is een verhaal.

Een startquery

Deze KQL groepeert remote logons per bronaccount en host om accounts te tonen die in korte tijd veel machines aanraken:

SecurityEvent
| where EventID == 4624 and LogonType == 3
| summarize hosts = dcount(Computer), machines = make_set(Computer, 10)
    by Account, bin(TimeGenerated, 1h)
| where hosts > 5
| sort by hosts desc

Technieken om te dekken

Stem de drempels af op je omgeving. Beheerders raken legitiem veel hosts aan, dus bepaal eerst een baseline en alarmeer dan op de afwijking, niet op de ruwe activiteit.