Yüksek önemHARDEC6 adım · 6 faz
Lateral Movement Containment
RDP/SMB/PsExec/WMI/Pass-the-Hash ile yatay hareketin sinirlandirilmasi.
Bilgilendirme notu
Bilgilendirme notu: Yanal hareket kapsamasında önce ağ segmentasyonunu ve SMB/WMI/RDP erişim yollarını doğrulayın. MITRE T1021 altında Pass-the-Hash ve token çalma saldırıları yönetici paylaşımları üzerinden yayılır; etkilenen kimlik bilgilerinin tüm ortamda geçersiz kılınması ile aynı anda başlamadan ağ izolasyonu eksik kalır. Yanal hareketi izlemek için Microsoft Defender for Identity veya eşdeğer davranışsal analiz aracının ağ günlükleriyle korelasyonu zorunludur.
1
Preparation
1 adım- Ag gorunurlugu
Dogu-bati trafik izleme, EDR, AD oturum eslemesi.
2
Identification
1 adım- Hareket zincirini cikar
Kaynak/hedef konaklar, kullanilan kimlik bilgileri, lateral teknik (PtH, RDP, WMI), zaman cizelgesi.
3
Containment
1 adım- Yolu kes
Etkilenen konaklari izole et, ele gecen hesaplari kilitle, SMB/RDP sikilastir, ag erisimini daralt.
4
Eradication
1 adım- Dayanak noktalarini temizle