Lateral movement: come gli attaccanti si muovono in rete
Il lateral movement è la fase di un attacco in cui l'hacker, dopo aver compromesso un solo dispositivo o account, si sposta da un sistema all'altro della rete per raggiungere i dati e i server più importanti. Non richiede tecniche spettacolari: sfrutta credenziali riutilizzate, reti poco segmentate e sistemi non aggiornati. Capire come funziona è il primo passo per impedire che un incidente minore diventi una violazione totale.
Lateral movement negli attacchi informatici: cos'è
Pensa a un ladro che entra da una finestra dimenticata aperta e poi trova tutte le porte interne senza serratura. L'ingresso iniziale conta poco, se dentro può muoversi liberamente. Il movimento laterale è proprio questo: la parte dell'attacco che avviene dentro la rete, dopo l'accesso iniziale.
Il quadro MITRE ATT&CK, il catalogo di tecniche usato da molti team di sicurezza, lo considera una tattica a sé. È la fase che separa un singolo computer infetto da un'intera azienda paralizzata.
Ha un ruolo centrale anche nei ransomware: prima di cifrare i dati, i gruppi criminali spesso esplorano la rete, cercano i server critici e i backup, e si assicurano di colpire il maggior numero di sistemi possibile.
Come funziona uno spostamento laterale passo dopo passo
Ogni attacco ha le sue particolarità, ma lo schema ricorre con poche varianti.
1. Ricognizione interna
L'attaccante, già dentro un dispositivo, osserva il contesto: quali computer sono raggiungibili, quali servizi sono attivi, quali utenti sono collegati. Per farlo usa spesso strumenti già presenti nel sistema o scanner di rete come Nmap, lo stesso che i professionisti usano per mappare le reti in modo lecito.
2. Ottenere credenziali
Il passo successivo è procurarsi accessi validi: password salvate nel browser, hash presenti nella memoria del sistema, file di configurazione con segreti dimenticati. Qui entra spesso in gioco la privilege escalation, cioè l'ottenimento di permessi più alti sul sistema già compromesso, utile per estrarre credenziali di amministratori.
3. Accedere a un nuovo sistema
Con credenziali valide, l'attaccante si collega a un'altra macchina usando servizi legittimi come desktop remoto, condivisioni di file o SSH. Dal punto di vista dei log sembra un normale utente al lavoro, ed è questo che rende il fenomeno difficile da individuare.
4. Ripetere fino all'obiettivo
Il ciclo si ripete finché non si raggiunge il bersaglio: un server di database, il controller di dominio, i sistemi di backup. Più la rete è piatta, cioè senza barriere interne, meno passaggi servono.
Le tecniche più comuni di movimento laterale
Non serve conoscere ogni variante, ma riconoscere le famiglie principali aiuta a capire dove intervenire.
- Uso di credenziali rubate o riutilizzate: la stessa password su più sistemi apre molte porte. Un tema vicino a quello del credential stuffing, in cui le password trapelate altrove vengono provate in massa.
- Pass-the-hash e furto di ticket: invece della password in chiaro si riutilizza il suo equivalente crittografico oppure un ticket di autenticazione. È un classico negli ambienti Windows.
- Servizi remoti legittimi: RDP, SMB, SSH e strumenti di amministrazione, se esposti senza controlli, diventano autostrade interne.
- Sfruttamento di vulnerabilità interne: un server non aggiornato raggiungibile dalla rete interna può essere compromesso senza nemmeno servire credenziali.
- Abuso della directory aziendale: configurazioni deboli di Active Directory permettono di scalare dai permessi di un utente comune a quelli di un amministratore, come spiegato nella guida agli attacchi ad Active Directory.
Perché i dispositivi dimenticati sono il punto di partenza ideale
L'accesso iniziale da cui parte un movimento laterale non è quasi mai un sistema ben curato. Più spesso è un dispositivo ai margini: una stampante, una telecamera, un NAS, un apparato IoT che nessuno aggiorna da anni. Questi oggetti funzionano, quindi nessuno li guarda, ma sono connessi alla stessa rete dei computer aziendali.
Il dibattito sugli attacchi ai frigoriferi connessi in Europa mostra bene il punto: quando una falla è nota e divulgata da oltre un anno, il problema non è l'abilità degli attaccanti, ma la mancata gestione della vulnerabilità. Un dispositivo "banale" lasciato con vecchio firmware può diventare la porta d'ingresso per tutto il resto. Per approfondire il tema trovi la guida a vulnerabilità IoT e attacchi ai dispositivi connessi.
Anche la gestione ordinaria conta. Per capire la gravità di una falla ci si appoggia ai codici CVE, che identificano le vulnerabilità pubbliche, e al punteggio CVSS, che ne stima la severità. Il punteggio, però, non basta: una vulnerabilità "media" su un sistema da cui si raggiunge il cuore della rete può essere più urgente di una "critica" su un sistema isolato. Contano il contesto e la raggiungibilità.
Come ridurre il rischio di movimento laterale
Non esiste una singola contromisura. L'obiettivo è rendere ogni passaggio più lungo, più rumoroso e più improbabile.
- Segmentare la rete: separa uffici, server, dispositivi IoT, ospiti e sistemi di backup, e limita il traffico tra segmenti a ciò che serve davvero.
- Applicare il privilegio minimo: gli utenti e gli account di servizio devono avere solo i permessi necessari. Gli amministratori dovrebbero usare account dedicati, non quelli di tutti i giorni.
- Rendere uniche le password locali: la stessa password di amministratore su tutti i PC è un invito al movimento laterale. Strumenti come Microsoft LAPS servono proprio a generarle diverse per ogni macchina.
- Attivare l'autenticazione a più fattori: soprattutto per accessi remoti, pannelli di amministrazione e account privilegiati.
- Aggiornare con metodo: un buon patch management chiude le falle prima che qualcuno le usi per spostarsi da un sistema all'altro.
- Disattivare ciò che non serve: protocolli obsoleti, condivisioni aperte e servizi remoti inutilizzati. Lo spiega bene la guida all'hardening dei sistemi.
- Isolare o sostituire i dispositivi fuori supporto: se il produttore non rilascia più aggiornamenti, il dispositivo va confinato in un segmento dedicato o dismesso.
Come accorgersi di un movimento laterale in corso
Individuarlo è difficile perché l'attaccante usa strumenti e account legittimi. Alcuni segnali, però, meritano attenzione:
- accessi di un utente a sistemi che non ha mai usato, o in orari insoliti;
- un account amministrativo che si collega a molte macchine in breve tempo;
- connessioni interne verso porte di amministrazione da dispositivi che non dovrebbero usarle, come stampanti o telecamere;
- uso inatteso di strumenti di amministrazione remota;
- tentativi di autenticazione falliti ripetuti verso più sistemi interni.
Per vederli servono log centralizzati, regole di allarme sensate e qualcuno che li guardi. Soluzioni di monitoraggio degli endpoint aiutano, ma sono utili solo se configurate e verificate.
Verificare le difese prima che lo faccia un attaccante
Il modo più concreto per sapere se la tua rete resiste a un movimento laterale è provarlo in modo controllato. Un penetration test simula un attaccante che parte da un punto debole e prova a raggiungere i sistemi critici, mostrando quali percorsi sono davvero aperti. Il red teaming aziendale spinge oltre questa logica, mettendo alla prova anche rilevamento e capacità di risposta, non solo le vulnerabilità tecniche.
Una buona Ricerca delle vulnerabilità è il punto di partenza: serve a conoscere dispositivi, servizi e configurazioni deboli che un attaccante potrebbe usare come primo anello. Per chiarire il confine tra falla e sfruttamento puoi leggere anche la differenza tra vulnerabilità ed exploit.
In sintesi
Il movimento laterale non è magia: è il risultato di reti piatte, password riutilizzate, privilegi eccessivi e sistemi dimenticati. La buona notizia è che ogni barriera interna aggiunge tempo e rumore, e dà modo di accorgersi dell'intruso. Se vuoi capire quali percorsi sono aperti nella tua azienda, puoi partire da una valutazione delle vulnerabilità e da un test mirato: il team di Fred for Security può aiutarti a mettere in ordine le priorità.
Domande frequenti
Che differenza c'è tra lateral movement e privilege escalation?
Il lateral movement sposta l'attaccante da un sistema a un altro all'interno della rete. La privilege escalation, invece, aumenta i permessi ottenuti su un singolo sistema o account. Spesso si alternano: per muoversi serve un account più potente, e un nuovo sistema può offrire credenziali migliori.
Quali conseguenze ha un dispositivo IoT non più supportato dal produttore?
Senza aggiornamenti, le vulnerabilità scoperte dopo la fine del supporto restano aperte per sempre. Il dispositivo può continuare a funzionare, ma diventa un bersaglio facile e un possibile punto di partenza per spostarsi nella rete. Va isolato, sostituito oppure rimosso quando non è indispensabile.
Perché gli aggiornamenti dei dispositivi IoT sono fondamentali per la sicurezza?
Gli aggiornamenti servono soprattutto a chiudere vulnerabilità note e a prevenire attacchi informatici; eventuali miglioramenti di prestazioni o stabilità sono secondari. Un dispositivo connesso non aggiornato resta esposto a falle già pubbliche, che gli attaccanti sanno sfruttare con strumenti facilmente reperibili.
Perché i dispositivi IoT negli hotel possono essere pericolosi?
Spesso non sono aggiornati o sono configurati in modo inadeguato, per esempio con password di fabbrica o servizi esposti. Se condividono la rete con sistemi di prenotazione o gestione, un dispositivo compromesso può diventare il primo passo verso dati e sistemi più sensibili.