Welche Signale sagen dir, dass sich ein Angreifer lateral im Netzwerk bewegt?

Such nach Authentifizierungsmustern, die nicht zur Historie eines Kontos passen: ein Workstation-Konto, das sich an Servern anmeldet, die es nie berührt hat, Typ-3-Logons, die sich innerhalb von Minuten über viele Hosts fächern, oder eine Administrator-Credential, die auf einem Nutzer-Endpoint auftaucht. Dazu Artefakte von Remote Execution (Service Creation, WMI- oder WinRM-Sessions, Remote Scheduled Tasks), Schreibzugriffe auf administrative Shares und neue interne Pfade auf Port 445 oder 5985 zwischen Segmenten.

Der erste Ort, an den ich schaue, ist Identity. Security-Logs auf Domain Controllern und Member Servern geben mir Logon-Typ, Quell-Workstation und Konto, und die Frage, die ich stelle, ist: hat sich dieses Konto jemals zuvor an diesem Host authentifiziert? Ein Finanz-Workstation-Konto, das sich plötzlich an drei Fileservern authentifiziert, ist für mich interessanter als jeder einzelne Endpoint-Alert. Typ-3-Logons, die sich in kurzer Zeit über viele Hosts fächern, sind das klassische Spray-Muster. Dann Execution: 7045 Service Installs, das Anlegen von Remote Scheduled Tasks, WinRM-Sessions, WMI-Prozessaufrufe und Schreibzugriffe auf ADMIN$- oder C$-Shares. Netzwerkseitig will ich Ost-West-Flowdaten, denn wenn ich nur Nord-Süd habe, bin ich genau für den Traffic blind, der mich interessiert, und ich habe an einem Ort mit genau dieser Lücke gearbeitet. Was das zusammenzieht, ist, Konto-zu-Host-Paare über dreißig Tage zu graphen und auf neue Kanten zu alarmieren, besonders bei privilegierten Konten. Eine neue Kante plus Remote Execution in derselben Stunde ist mein Eskalationsauslöser.