Detecção de Movimentação Lateral com Splunk

Quando Usar

• Ao procurar por movimentação de adversários entre sistemas comprometidos
• Após detectar roubo de credenciais para rastrear atividades laterais subsequentes
• Ao investigar padrões de autenticação incomuns na rede
• Durante a resposta a incidentes para delimitar a extensão do comprometimento
• Ao procurar proativamente por técnicas TA0008 (Movimentação Lateral)

Pré-requisitos

• Splunk Enterprise ou Splunk Cloud com dados de eventos do Windows ingeridos
• Logs de Segurança do Windows encaminhados (4624, 4625, 4648, 4672, 4768, 4769)
• Sysmon implantado para dados de criação de processos e conexões de rede
• Dados de fluxo de rede ou logs de firewall para correlação de SMB/RDP/WinRM
• Dados de referência de associação de usuários e grupos do Active Directory

Fluxo de Trabalho

1. Definir o Escopo da Movimentação Lateral: Identificar quais técnicas de movimentação lateral procurar (RDP, SMB/Compartilhamentos Administrativos, WinRM, PsExec, WMI, DCOM, SSH).
2. Consultar Eventos de Autenticação: Usar SPL para buscar logons do Tipo 3 (Rede) e Tipo 10 (Interativo Remoto) em todo o ambiente.
3. Construir Gráficos de Autenticação: Mapear relacionamentos de autenticação de origem para destino para identificar padrões de conexão incomuns.
4. Detectar Relacionamentos Inéditos: Identificar novos pares origem-destino que não foram vistos na linha de base histórica.
5. Correlacionar com Atividade de Processos: Vincular eventos de autenticação a criações de processos subsequentes em hosts de destino.
6. Identificar Padrões Anômalos: Sinalizar movimentação lateral para servidores sensíveis, horários incomuns, uso indevido de contas de serviço ou acesso rápido a múltiplos hosts.
7. Relatar e Conter: Documentar o caminho da movimentação lateral, sistemas afetados e coordenar a resposta de contenção.

Conceitos Chave

Ferramentas & Sistemas

Cenários Comuns

1. Movimentação Lateral com PsExec: Adversário usa PsExec para executar comandos em sistemas remotos via SMB, gerando logon do Tipo 3 com acesso ao compartilhamento ADMIN$.
2. Pivô com RDP: Atacante usa RDP para acessar sistemas internos usando credenciais roubadas, criando eventos de logon do Tipo 10.
3. Execução Remota com WMI: Adversário usa wmic process call create para iniciar processos em hosts remotos.
4. Remoting PowerShell com WinRM: Atacante usa Enter-PSSession ou Invoke-Command para executar código em sistemas remotos.
5. Pass-the-Hash via SMB: Hashes NTLM comprometidos usados para autenticar em sistemas remotos sem conhecer a senha em texto claro.

Formato de Saída

Hunt ID: TH-LATMOV-[DATE]-[SEQ]
Movement Type: [RDP/SMB/WinRM/WMI/DCOM/PsExec]
Source Host: [Hostname/IP]
Destination Host: [Hostname/IP]
Account Used: [Username]
Logon Type: [3/10/other]
First Seen: [Timestamp]
Event Count: [Number of events]
Risk Level: [Critical/High/Medium/Low]
Lateral Movement Path: [A -> B -> C -> D]