MITRE ATT&CK
Détecter les mouvements latéraux et le beaconing C2
Un mouvement latéral, c'est un attaquant qui passe de la première machine compromise à d'autres, en général en se connectant avec des identifiants volés à des services d'accès à distance. Le beaconing C2 (command-and-control), c'est un logiciel compromis qui contacte le serveur de l'attaquant à intervalles réguliers pour recevoir des instructions. Les deux doivent traverser le réseau, donc les deux se détectent dans le trafic, même chiffré : le mouvement latéral comme des sessions inhabituelles entre hôtes sur des protocoles d'administration, le beaconing comme un rythme régulier de petites connexions vers une même destination.
Le fait à retenir
Dans un guide conjoint publié le 7 février 2024, la CISA, la NSA, le FBI et des agences partenaires ont averti que les attaquants qui « vivent sur le système » (living off the land) utilisent les mêmes outils légitimes que les administrateurs, si bien que leur activité se fond dans le fonctionnement normal, et ont recommandé de tenir des références de l'activité normale du réseau, des utilisateurs et des administrateurs pour repérer ce qui s'en écarte.
Comment les détecter
Quatre pratiques qui fonctionnent avec n'importe quel outil, et que NetSenX automatise.
01Tenir une référence de qui parle à qui
Un mouvement latéral n'est visible que par rapport à la normale. Notez quels hôtes se connectent habituellement à quels serveurs, et sur quels ports : un poste qui ouvre soudain des sessions SMB ou RDP vers dix serveurs ressort nettement.
02Observer le trafic est-ouest, pas seulement le périmètre
Le trafic entre hôtes du LAN ne passe jamais par le pare-feu Internet. Placez un port SPAN ou TAP, ou un capteur, dans chaque segment que vous devez voir.
03Chercher le rythme, pas le contenu
Le beaconing apparaît comme des connexions vers une même destination à intervalles presque constants, souvent avec de petits messages de taille similaire et un léger aléa. Les horaires et les volumes restent visibles quand la session est chiffrée.
04Corréler entre hôtes
Plusieurs hôtes qui contactent le même nouveau domaine, ou un hôte qui scanne puis se connecte aux machines qu'il a scannées, constituent un signal plus fort qu'une connexion isolée.
Correspondance avec MITRE ATT&CK
Les noms et identifiants des techniques sont ceux de MITRE. La dernière colonne indique la catégorie de détection NetSenX dont relève ce trafic ; elle ne signifie pas que toutes les variantes de la technique sont détectées.
| Technique | Ce que l'on voit sur le réseau | Détection NetSenX |
|---|---|---|
| T1046 Network Service DiscoveryDiscovery | Un hôte qui se connecte en peu de temps à de nombreuses adresses ou ports internes. | Scans |
| T1021 Remote ServicesLateral Movement | Un poste qui ouvre des sessions SMB, RDP, SSH ou WinRM vers des serveurs ou d'autres postes qu'il n'a jamais utilisés. | Mouvements latéraux |
| T1071 Application Layer ProtocolCommand and Control | De petites connexions régulières vers la même destination externe en HTTPS, jour et nuit. | Beaconing C2 |
| T1573 Encrypted ChannelCommand and Control | Le même rythme à l'intérieur de TLS : horaires, volumes, destination et négociation restent visibles sans déchiffrement. | Beaconing C2, à partir des métadonnées |
| T1041 Exfiltration Over C2 ChannelExfiltration | Un hôte qui émet des beacons et envoie soudain beaucoup plus de données par le même canal. | Volume inhabituel de données sortantes |
| T1048 Exfiltration Over Alternative ProtocolExfiltration | De gros transferts sortants par un protocole que l'hôte n'utilise pas normalement pour cela. | Volume inhabituel de données sortantes |
Ce que NetSenX fait aujourd'hui
- Détecte les scans, les mouvements latéraux, le beaconing C2 et les volumes inhabituels de données sortantes à partir du comportement réseau, sur toutes les offres, Free comprise.
- À partir de l'offre Pro, relie les hôtes dans un graphe de qui parle à qui : un scan suivi de nouvelles sessions à distance, ou plusieurs hôtes qui contactent une même destination, apparaissent comme une seule histoire plutôt que comme des alertes éparses.
- Nomme sur l'alerte la technique MITRE ATT&CK à laquelle correspond une détection, et montre dans une vue de couverture les techniques que couvrent vos détections actives.
- Analyse le trafic chiffré à partir des horaires, des volumes et des destinations, et à partir de l'offre Starter aussi de la négociation TLS, sans jamais le déchiffrer. La négociation n'est visible que là où l'agent capture les paquets : sous Linux ou comme sonde sur un port SPAN ou TAP, pas dans le mode de base utilisé sous macOS.
Ce que NetSenX ne fait pas
NetSenX ne voit un mouvement latéral que s'il traverse un segment surveillé : une session entre deux hôtes d'un segment non surveillé, ou une activité qui ne quitte pas une machine, échappe à sa vue. Il ne lit pas le contenu des sessions chiffrées, ne remplace pas la réponse à incident et ne prétend pas détecter toutes les variantes de toutes les techniques ATT&CK citées sur cette page.
Questions des acheteurs
Qu'est-ce qu'un mouvement latéral en cybersécurité ?
C'est la façon dont un attaquant passe de la première machine compromise à d'autres, en général avec des identifiants volés et des services d'accès à distance comme SMB, RDP, SSH ou WinRM. MITRE ATT&CK le décrit comme la tactique TA0008 ; Remote Services est la technique T1021.
Comment détecter un beaconing C2 ?
Cherchez un hôte qui se connecte à la même destination externe à intervalles presque réguliers, jour et nuit, avec de petits messages de taille similaire. Ce schéma apparaît dans les données de flux et les journaux du pare-feu, y compris pour le trafic chiffré, car les horaires, les volumes et la destination ne sont pas chiffrés.
Peut-on détecter un mouvement latéral dans du trafic chiffré ?
En grande partie, oui : qui se connecte à qui, sur quel port, quand et avec quel volume, tout cela est visible sans déchiffrement. Ce qui reste caché, c'est le contenu de la session, par exemple les commandes envoyées dans une session à distance chiffrée.
Quelles techniques MITRE ATT&CK la détection réseau peut-elle voir ?
Celles qui créent du trafic entre machines, par exemple Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) et Exfiltration Over C2 Channel (T1041). Les techniques qui restent dans un hôte relèvent des outils installés sur les postes.
Sources
- CISA, NSA, FBI and partner agencies — Joint guidance: Identifying and mitigating living off the land techniques, 7 February 2024 (published by NCSC New Zealand)
- MITRE ATT&CK — Lateral Movement (TA0008)
- MITRE ATT&CK — Command and Control (TA0011)
Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.
Pages associées
Essayez NetSenX sur votre propre réseau
Commencez avec l'offre Free pour 3 appareils au maximum, ou réservez une démo de 20 minutes.