Movimiento lateral: qué es y cómo detenerlo
Aperio Security · Actualizada el
El movimiento lateral es el conjunto de técnicas que usa un atacante para pasar del primer equipo que comprometió a otros equipos de la misma red, hasta llegar a lo que busca: servidores, bases de datos, respaldos o cuentas de administrador. Se detiene limitando qué equipos pueden conectarse entre sí, vigilando las conexiones internas inusuales y aislando rápido lo que se ve comprometido.
Por qué importa tanto
Casi ningún ataque serio termina en el equipo por donde entró. Un correo de phishing compromete la laptop de una persona de cobranza, pero esa laptop no tiene nada valioso por sí misma. Lo valioso está en otros lados, y el atacante necesita llegar ahí. El tiempo que pasa entre la entrada y el daño visible lo dedica a explorar la red y moverse dentro de ella.
Por eso el alcance de un incidente no lo decide cómo entró el atacante, sino hasta dónde pudo llegar una vez dentro. En una red plana, la respuesta suele ser «a todas partes».
Las técnicas más comunes
El marco MITRE ATT&CK agrupa estas técnicas en la táctica Movimiento lateral (TA0008). En redes Windows, las más vistas son:
- Servicios remotos legítimos: RDP (puerto 3389), recursos compartidos de administración por SMB (445) y WinRM (5985/5986). El atacante usa las mismas herramientas que el equipo de TI, por eso es difícil distinguirlo.
- Credenciales robadas: contraseñas extraídas de la memoria del equipo comprometido o técnicas como pass-the-hash, que reutilizan el hash de una contraseña sin conocerla.
- Herramientas de administración remota: PsExec, PowerShell remoto o software de soporte instalado de forma legítima.
- Explotación de servicios internos: vulnerabilidades en servidores que nunca se pensaron expuestos porque «solo son internos».
Antes de moverse, el atacante hace descubrimiento: escanea la red para ver qué equipos y puertos responden. Ese escaneo interno es una de las señales más claras.
Cómo detectarlo
- Conexiones que nunca habían ocurrido: una estación de trabajo que de pronto abre RDP a un servidor, o un servidor web que intenta SMB contra el controlador de dominio.
- Barridos de puertos internos: un equipo que toca decenas de direcciones o puertos en poco tiempo.
- El proceso que origina la conexión: que
svchost.exehable con el servidor de archivos es normal; que lo haga un binario desconocido desde la carpeta de descargas, no. Ver el proceso, no solo la IP, reduce mucho los falsos positivos. - Cuentas privilegiadas fuera de lugar: una cuenta de administrador usada desde un equipo que normalmente no administra nada.
Cómo detenerlo
- Reduce los caminos. Con microsegmentación, una estación de trabajo no tiene por qué poder abrir RDP o SMB contra los servidores. Si el camino no existe, la credencial robada no sirve para nada.
- Protege lo que el atacante busca. Controladores de dominio, respaldos y bases de datos deben tener su propio círculo con muy pocas entradas permitidas.
- Contén rápido. Cuando algo parece comprometido, aislarlo de la red en segundos vale más que la investigación perfecta. Ver cómo contener un ransomware.
- No expongas el acceso remoto. RDP abierto a Internet es una de las entradas más usadas; el soporte remoto debe ir por un canal cifrado sin puertos abiertos.
Cómo lo hace Aperio
Aperio Security dibuja el movimiento lateral en el mapa (en rosa, separado del tráfico hacia Internet) con el proceso que originó cada conexión, detecta escaneos y conexiones nuevas entre equipos y permite poner en cuarentena un equipo o un círculo completo con un clic. Las políticas por círculo eliminan de raíz los caminos que nadie usa.
Preguntas frecuentes
¿El antivirus o el EDR no detienen el movimiento lateral?
Ayudan a detectar herramientas maliciosas, pero el movimiento lateral suele hacerse con herramientas legítimas y credenciales válidas. Limitar los caminos en la red es una capa distinta que funciona aunque el atacante no use malware.
¿Qué es el tráfico este-oeste?
Es el tráfico interno entre equipos y servidores de la misma red, a diferencia del tráfico norte-sur, que entra y sale de Internet. El movimiento lateral ocurre en el tráfico este-oeste.
¿Qué es pass-the-hash?
Es una técnica en la que el atacante usa el hash de la contraseña de una cuenta, extraído de un equipo comprometido, para autenticarse en otros equipos sin conocer la contraseña en texto claro.