कौन से संकेत बताते हैं कि कोई हमलावर नेटवर्क के भीतर lateral movement कर रहा है?

ऐसे authentication पैटर्न ढूंढें जो किसी account के इतिहास से मेल न खाते हों: कोई workstation account ऐसे server में login कर रहा हो जिन्हें उसने कभी छुआ नहीं, कुछ ही मिनटों में कई host पर फैलते type 3 logon, या किसी यूजर endpoint पर administrator credential का दिखना। साथ में remote execution के निशान जोड़ें (service creation, WMI या WinRM session, remote scheduled task), administrative share पर write, और segment के बीच port 445 या 5985 पर नए अंदरूनी रास्ते।

मैं सबसे पहले identity देखता हूं। domain controller और member server के security log मुझे logon type, source workstation और account देते हैं, और मैं यह पूछता हूं कि क्या इस account ने पहले कभी इस host पर authenticate किया है। कोई finance workstation account अचानक तीन file server पर authenticate करे, यह मेरे लिए किसी भी अकेले endpoint alert से ज्यादा दिलचस्प है। छोटी अवधि में कई host पर फैलते type 3 logon वह क्लासिक spray पैटर्न है। फिर execution: 7045 service install, remote scheduled task बनना, WinRM session, WMI process call, और ADMIN$ या C$ share पर write। नेटवर्क की तरफ मुझे east west flow डेटा चाहिए, क्योंकि अगर मेरे पास सिर्फ north south है तो मैं ठीक उसी traffic के लिए अंधा हूं जिसकी मुझे परवाह है, और मैं ऐसी जगह काम कर चुका हूं जहां बिल्कुल यही कमी थी। जो सब जोड़ता है वह है तीस दिन में account और host की जोड़ियों का graph बनाना और नए किनारों पर alert करना, खासकर privileged account के लिए। एक ही घंटे में नया किनारा और remote execution, यही मेरा escalation trigger है।