Laterale beweging: hoe hackers zich ongezien door een netwerk verplaatsen
Stel je voor: een inbreker breekt niet bij elke kamer van een huis apart de deur open, maar klimt via één openstaand raam naar binnen en loopt vervolgens gewoon van kamer naar kamer, omdat hij binnen de sleutelbos van de bewoner vindt. Dat is in essentie laterale beweging (Engels: lateral movement) in de digitale wereld: nadat een aanvaller één computer of account in een netwerk heeft weten binnen te dringen, verplaatst hij zich vandaaruit zijwaarts naar andere systemen, zonder daarvoor telkens opnieuw van buitenaf te hoeven inbreken.
Het begrip is een vast onderdeel van het vocabulaire van cybersecurity-professionals. Een aanvaller die bijvoorbeeld via een phishingmail toegang krijgt tot de laptop van een willekeurige medewerker, heeft daarmee meestal nog niet de gegevens of systemen te pakken waar het hem echt om gaat. Vanaf dat ene beginpunt zoekt hij naar wachtwoorden, netwerkverbindingen en beheerrechten om dieper het bedrijfsnetwerk in te trekken, tot hij bij bijvoorbeeld de financiële administratie, productieservers of back-upsystemen uitkomt. Die tussenstap van het ene systeem naar het andere is de laterale beweging.
Wat is het precies?
Een cyberaanval verloopt doorgaans in fasen. Beveiligingsonderzoekers van het Amerikaanse MITRE-instituut hebben deze fasen in kaart gebracht in het ATT&CK-raamwerk, een veelgebruikte referentiebron voor de sector. Laterale beweging is daarin een aparte categorie, met het kenmerk TA0008.
Concreet gaat het om een reeks technieken die op elkaar voortbouwen. Eerst verkent de aanvaller vanaf het gecompromitteerde systeem welke andere computers, servers en accounts bereikbaar zijn: dit heet network discovery. Vervolgens probeert hij inloggegevens te bemachtigen, bijvoorbeeld door wachtwoorden uit het geheugen van een machine te lezen met hulpmiddelen zoals Mimikatz, of door bestaande, legitieme beheertools te misbruiken die eigenlijk bedoeld zijn voor systeembeheerders (dit heet "living off the land": de aanvaller gebruikt software die toch al op het systeem aanwezig is, zodat hij minder opvalt).
Met die gestolen inloggegevens meldt de aanvaller zich vervolgens aan bij een volgend systeem, alsof hij een gewone gebruiker of beheerder is. Dat maakt laterale beweging lastig te herkennen: het verkeer lijkt in eerste instantie op normale, interne netwerkactiviteit, niet op een inbraak van buitenaf. Pas wanneer een account zich ineens op ongebruikelijke tijden, vanaf ongebruikelijke plekken of naar ongebruikelijke systemen aanmeldt, kunnen beveiligingssystemen argwaan krijgen.
Wat wil men ermee bereiken?
Voor de aanvaller is laterale beweging een middel, geen doel op zich. Het echte doel ligt meestal verderop: gevoelige data stelen, spionage bedrijven, of - steeds vaker - gijzelsoftware (ransomware) zo breed mogelijk in een netwerk verspreiden voordat die wordt geactiveerd. Hoe verder een aanvaller zich lateraal door een netwerk kan bewegen, hoe groter de schade die hij uiteindelijk kan aanrichten.
Voor de beveiligingssector is het juist omgekeerd: het detecteren en stoppen van laterale beweging is een van de belangrijkste manieren om een aanval alsnog te stuiten voordat die echte schade veroorzaakt. Een aanvaller die eenmaal binnen is, is namelijk zelden meteen bij zijn doelwit. Er zit vrijwel altijd tijd tussen de eerste inbraak en de uiteindelijke klap - onderzoekers spreken over een mediane "dwell time" (de tijd dat een indringer ongemerkt in een netwerk aanwezig is) die weliswaar de laatste jaren is gedaald, maar vaak nog dagen tot weken bedraagt. Die tijd biedt verdedigers een kans, mits ze de sporen van laterale beweging tijdig opmerken.
Daarom heeft zich rond dit thema een heel deelgebied van de security-industrie ontwikkeld, gericht op het monitoren van interne netwerkactiviteit, het beperken van de bewegingsvrijheid van een eenmaal binnengedrongen aanvaller, en het vroegtijdig signaleren van verdacht gedrag tussen systemen onderling.
Voorbeelden uit de praktijk
De aanval op de Amerikaanse winkelketen Target in 2013 geldt als een schoolvoorbeeld. Aanvallers braken binnen via de inloggegevens van een extern bedrijf dat de klimaatbeheersing onderhield, en bewogen zich vandaaruit lateraal door het netwerk naar de kassasystemen, waar ze de creditcardgegevens van zo'n veertig miljoen klanten buitmaakten.
Bij de wereldwijde NotPetya-aanval in 2017 verspreidde de malware zich, eenmaal binnen een netwerk, razendsnel lateraal met behulp van gestolen Windows-inloggegevens en een lek genaamd EternalBlue. Rederijgigant Maersk werd hierdoor zo zwaar getroffen dat het bedrijf duizenden computers en servers moest vervangen; de schade wereldwijd wordt geschat op meerdere miljarden dollars.
De SolarWinds-aanval, ontdekt in 2020, is een voorbeeld van een zeer geduldige, staatsgesponsorde operatie. Aanvallers manipuleerden een software-update van het netwerkbeheerprogramma Orion, en gebruikten die voet aan de grond vervolgens om zich lateraal te verplaatsen binnen de netwerken van tientallen Amerikaanse overheidsinstanties en bedrijven, op zoek naar specifieke, hooggeplaatste doelwitten.
Bij de inbraak bij Uber in 2022 kreeg een aanvaller na social engineering (het overtuigen van een medewerker om toegang te verlenen) via één account voet aan de grond, en vond vervolgens in een intern script wachtwoorden die toegang gaven tot vrijwel alle interne systemen van het bedrijf, van Slack tot cloudinfrastructuur.
In 2023 wist de groep achter de aanval op casino-exploitant MGM Resorts met een telefoontje naar de helpdesk (opnieuw social engineering) binnen te komen, om vandaaruit lateraal door te dringen tot systemen die uiteindelijk gijzelsoftware verspreidden - met wekenlange verstoringen van hotels en casino's als gevolg.
Hoe ver is de techniek?
Laterale beweging zelf is geen nieuwe uitvinding; het is al zo oud als netwerken met meerdere onderling verbonden computers. Wat wél sterk in ontwikkeling is, zijn de methoden om het te herkennen en te voorkomen.
De belangrijkste trend is de omslag naar Zero Trust-architectuur: het uitgangspunt dat geen enkel apparaat of account binnen een netwerk automatisch wordt vertrouwd, ook niet als het zich al "binnen" bevindt. Elke toegang tot een nieuw systeem moet opnieuw worden geverifieerd. Het Amerikaanse standaardisatie-instituut NIST publiceerde hiervoor in 2020 een veelgebruikt referentiedocument (SP 800-207), en veel grote organisaties zijn sindsdien bezig dit principe stapsgewijs in te voeren. Volledige implementatie is echter tijdrovend en kostbaar, en in de praktijk werken de meeste bedrijven nog met een mengvorm van oude en nieuwe beveiligingsmodellen.
Een tweede ontwikkeling is microsegmentatie: het netwerk opdelen in kleine, streng gescheiden compartimenten, zodat een aanvaller die er één binnendringt niet automatisch bij de rest kan. Daarnaast zetten organisaties in toenemende mate EDR- en XDR-systemen in (Endpoint/Extended Detection and Response: software die continu gedrag op computers en in netwerken analyseert) om afwijkende interne aanmeldingen te signaleren, en groeit de markt voor zogeheten identity threat detection, gericht specifiek op misbruik van accounts en inloggegevens.
Ook "lokaas"-technieken (deception technology) winnen terrein: nepaccounts of nepbestanden (honeytokens) die voor een gewone gebruiker onzichtbaar zijn, maar direct alarm slaan zodra een aanvaller ze aanraakt tijdens zijn verkenning. Ondanks al deze vooruitgang blijft laterale beweging in de praktijk lastig volledig te stoppen: aanvallers maken juist steeds vaker gebruik van legitieme, ingebouwde beheertools in plaats van herkenbare malware, wat detectie moeilijk houdt.
Wie werken eraan?
Het MITRE ATT&CK-raamwerk, onderhouden door de non-profitorganisatie MITRE, geldt wereldwijd als het referentiekader waarmee beveiligingsteams laterale beweging en andere aanvalstechnieken benoemen en herkennen. Het Amerikaanse NIST levert met publicaties als SP 800-207 de technische standaarden voor Zero Trust, terwijl het Amerikaanse cybersecurity-agentschap CISA regelmatig waarschuwingen en richtlijnen publiceert over actief misbruikte technieken. In Europa vervult het EU-agentschap ENISA een vergelijkbare, coördinerende rol richting lidstaten en bedrijven.
Op commercieel vlak investeren grote securitybedrijven als Microsoft, CrowdStrike, Palo Alto Networks en Mandiant (onderdeel van Google Cloud) fors in detectietechnologie tegen laterale beweging, mede gevoed door de dreigingsinformatie die zij verzamelen bij het onderzoeken van grote incidenten. Ook academische onderzoeksgroepen en nationale computer emergency response teams (CERT's), waaronder het Nederlandse Nationaal Cyber Security Centrum (NCSC), dragen bij aan kennisdeling over dit onderwerp.