Detectando Movimentação Lateral com Zeek

Analise logs de rede do Zeek para identificar técnicas de movimentação lateral, incluindo acesso a compartilhamentos administrativos SMB, criação remota de serviços DCE/RPC, ataques de força bruta de contas NTLM, anomalias em tickets Kerberos e grandes transferências de dados internas indicativas de staging ou exfiltração entre hosts.

Quando Usar

• Caçando por movimentação lateral após um indicador de comprometimento inicial ser encontrado em um endpoint.
• Investigando suspeitas de ataques de força bruta de contas NTLM ou Pass-the-Ticket na rede interna.
• Monitorando tráfego SMB para transferências não autorizadas de arquivos para compartilhamentos administrativos (C$, ADMIN$, IPC$).
• Detectando execução remota de serviços via DCE/RPC (padrões de movimentação lateral com PsExec, schtasks, WMI).
• Construindo regras de alerta para anomalias na rede interna em uma implantação NSMP baseada em Zeek.
• Realizando reconstrução de linha do tempo pós-incidente usando logs do Zeek como fonte de evidência em nível de rede.

Não use como um mecanismo de detecção isolado. O Zeek vê apenas o tráfego de rede; combine com telemetria de endpoint (Sysmon, EDR) para visibilidade completa. Tráfego SMB3 criptografado pode limitar a visibilidade do Zeek em detalhes de nível de arquivo.

Pré-requisitos

• Zeek 6.0+ implantado em um tap de rede ou porta SPAN monitorando o tráfego de VLAN interna.
• Analisador SMB do Zeek habilitado (carregado por padrão: @load base/protocols/smb).
• Analisador DCE/RPC do Zeek habilitado (@load base/protocols/dce-rpc).
• Analisador Kerberos do Zeek habilitado (@load base/protocols/krb).
• Python 3.8+ (apenas biblioteca padrão).
• Acesso ao diretório de logs do Zeek (padrão: /opt/zeek/logs/current/).
• Familiaridade com o formato de log TSV do Zeek (campos separados por \t, linhas de cabeçalho prefixadas com #).

Fluxo de Trabalho

Etapa 1: Verificar Coleta de Logs do Zeek

Confirme que o Zeek está produzindo os arquivos de log necessários para a detecção de movimentação lateral:

# Check that all required analyzers are producing logs
ls -la /opt/zeek/logs/current/conn.log
ls -la /opt/zeek/logs/current/smb_mapping.log
ls -la /opt/zeek/logs/current/smb_files.log
ls -la /opt/zeek/logs/current/dce_rpc.log
ls -la /opt/zeek/logs/current/kerberos.log
ls -la /opt/zeek/logs/current/ntlm.log

# Quick field check on conn.log
zeek-cut id.orig_h id.resp_h id.resp_p proto service < /opt/zeek/logs/current/conn.log | head -20

Etapa 2: Analisar conn.log para Padrões de Movimentação Lateral Interna

Identifique conexões entre hosts internos em portas associadas à movimentação lateral:

# Extract SMB connections (port 445) between internal hosts
zeek-cut ts id.orig_h id.orig_p id.resp_h id.resp_p proto service duration orig_bytes resp_bytes \
  < /opt/zeek/logs/current/conn.log \
  | awk '$5 == 445 && $7 == "smb"'

# Extract DCE/RPC connections (port 135)
zeek-cut ts id.orig_h id.resp_h id.resp_p service \
  < /opt/zeek/logs/current/conn.log \
  | awk '$4 == 135'

# Extract WinRM connections (port 5985/5986)
zeek-cut ts id.orig_h id.resp_h id.resp_p service \
  < /opt/zeek/logs/current/conn.log \
  | awk '$4 == 5985 || $4 == 5986'

Etapa 3: Analisar Acesso a Compartilhamentos Administrativos SMB

Detecte acesso a compartilhamentos administrativos (C$, ADMIN$, IPC$), que é o vetor principal para ferramentas como PsExec:

# Check smb_mapping.log for admin share access
zeek-cut ts id.orig_h id.resp_h path share_type \
  < /opt/zeek/logs/current/smb_mapping.log \
  | grep -iE '(C\$|ADMIN\$|IPC\$)'

# Check smb_files.log for file writes to admin shares
zeek-cut ts id.orig_h id.resp_h action path name size \
  < /opt/zeek/logs/current/smb_files.log \
  | grep -i 'SMB::FILE_WRITE'

Implante o seguinte script Zeek para gerar alertas notice.log em acessos a compartilhamentos administrativos:

@load base/protocols/smb
@load base/frameworks/notice

redef enum Notice::Type += {
    Admin_Share_Access
};

event smb1_tree_connect_andx_request(c: connection, hdr: SMB1::Header, path: string, service: string) {
    if ( /\$/ in path )
        NOTICE([$note=Admin_Share_Access,
                $msg=fmt("Admin share access: %s -> %s (%s)", c$id$orig_h, c$id$resp_h, path),
                $conn=c]);
}

Etapa 4: Detectar Operações de Serviço Remoto DCE/RPC

Monitore a criação remota de serviços e o registro de tarefas agendadas via DCE/RPC:

# Look for service control manager operations (PsExec pattern)
zeek-cut ts id.orig_h id.resp_h endpoint operation \
  < /opt/zeek/logs/current/dce_rpc.log \
  | grep -iE '(svcctl|atsvc|ITaskSchedulerService)'

Etapa 5: Detectar Força Bruta de Contas NTLM

Analise ntlm.log para anomalias de autenticação que indiquem reutilização de credenciais.

…