Detecção de Movimentação Lateral na Rede

Quando Usar

• Monitorar redes corporativas em busca de padrões de movimentação lateral pós-comprometimento (pass-the-hash, RDP hopping, PSExec)
• Construir regras de detecção e alertas de SIEM para técnicas comuns de movimentação lateral do MITRE ATT&CK (T1021, T1570)
• Investigar suspeitas de violações analisando padrões de autenticação e conexões de rede entre hosts internos
• Caçar padrões anômalos de tráfego leste-oeste que indiquem um atacante pivotando pela rede
• Validar que a segmentação de rede e os controles de acesso limitam efetivamente os caminhos de movimentação lateral

Não use como substituto para ferramentas de detecção e resposta de endpoint (EDR), para monitorar apenas tráfego norte-sul ignorando fluxos de tráfego internos, ou sem conhecimento de base dos padrões normais de comunicação interna.

Pré-requisitos

• Monitoramento de segurança de rede implantado em pontos de estrangulamento internos (Zeek, Suricata ou TAPs de rede)
• Plataforma SIEM (Splunk, Elastic, Microsoft Sentinel) coletando logs de segurança do Windows, DNS e dados de fluxo
• Encaminhamento de logs de eventos do Windows configurado para eventos de segurança (4624, 4625, 4648, 4672, 4768, 4769)
• Base de padrões normais de autenticação e conexão interna
• Compreensão das táticas de Movimentação Lateral do MITRE ATT&CK (TA0008)

Fluxo de Trabalho

Etapa 1: Configurar Coleta de Logs para Detecção de Movimentação Lateral

# Windows Event Logs to collect (via WEF or agent):
# Security Log:
#   4624 - Successful logon (Type 3=Network, Type 10=RemoteInteractive)
#   4625 - Failed logon
#   4648 - Logon using explicit credentials (RunAs, PsExec)
#   4672 - Special privileges assigned (admin logon)
#   4768 - Kerberos TGT request
#   4769 - Kerberos service ticket request
#   4776 - NTLM authentication (credential validation)
# System Log:
#   7045 - New service installed (PsExec indicator)
#   7036 - Service started/stopped

# Configure Windows Event Forwarding (WEF) subscription
# On the collector server (PowerShell):
# wecutil cs lateral-movement-subscription.xml

# Filebeat configuration for Windows Event Log shipping
cat > /etc/filebeat/modules.d/security.yml << 'EOF'
- module: system
  auth:
    enabled: true
    var.paths: ["/var/log/auth.log"]
  syslog:
    enabled: true

- module: zeek
  connection:
    enabled: true
    var.paths: ["/opt/zeek/logs/current/conn.log"]
  dns:
    enabled: true
    var.paths: ["/opt/zeek/logs/current/dns.log"]
  smb_mapping:
    enabled: true
    var.paths: ["/opt/zeek/logs/current/smb_mapping.log"]
  dce_rpc:
    enabled: true
    var.paths: ["/opt/zeek/logs/current/dce_rpc.log"]
EOF

# Zeek configuration for lateral movement detection
# Enable SMB, DCE-RPC, and Kerberos logging
cat >> /opt/zeek/share/zeek/site/local.zeek << 'EOF'
@load policy/protocols/smb
@load policy/protocols/conn/known-hosts
@load policy/protocols/conn/known-services
@load frameworks/intel/seen
EOF

sudo zeekctl deploy

Etapa 2: Construir Regras de Detecção para Técnicas Comuns de Movimentação Lateral

# Splunk SPL queries for lateral movement detection

# 1. Detect PsExec usage (new service creation on remote hosts)
# index=wineventlog EventCode=7045 ServiceName="PSEXESVC" OR ServiceName="*psexec*"
# | stats count by ComputerName, ServiceName, ImagePath
# | where count > 0

# 2. Detect Pass-the-Hash (Type 3 logon with NTLM)
# index=wineventlog EventCode=4624 LogonType=3 AuthenticationPackageName="NTLM"
# | where TargetUserName!="ANONYMOUS LOGON" AND TargetUserName!="$"
# | stats count dc(ComputerName) as unique_hosts by TargetUserName, IpAddress
# | where unique_hosts > 3

# 3. Detect RDP lateral movement (Type 10 logon from internal IPs)
# index=wineventlog EventCode=4624 LogonType=10
# | where cidrmatch("10.0.0.0/8", IpAddress) OR cidrmatch("192.168.0.0/16", IpAddress)
# | stats count dc(ComputerName) as rdp_hosts by TargetUserName, IpAddress
# | where rdp_hosts > 2

# Elastic SIEM detection rules (KQL)
# event.code: "4624" and winlog.event_data.LogonType: "3"
#   and winlog.event_data.AuthenticationPackageName: "NTLM"
#   and not winlog.event_data.TargetUserName: *$
#   and source.ip: (10.0.0.0/8 or 172.16.0.0/12 or 192.168.0.0/16)

# Regras Sigma para detecção de movimentação lateral
# Instalar sigma e converter para o formato SIEM de destino
pip3 install sigma-cli

cat > lateral_movement_pth.yml << 'EOF'
title: Detecção de Movimentação Lateral Pass-the-Hash
id: f8d98d6c-7a07-4d74-b064-dd4a3c244528
status: experimental

…