측면 이동은 도난당한 자격 증명을 사용하여 사이버 공격의 컴퓨터에서 컴퓨터로 이동하는 것을 의미합니다.
거의 모든 사이버 공격은 측면 이동과 관련이 있습니다. 공격자는 하나의 컴퓨터로 전환하고 해당 컴퓨터에서 활성화된 로그인 자격 증명에 액세스한 다음 해당 자격 증명을 사용하여 랩톱, 데스크톱 또는 서버와 같은 다른 컴퓨터로 이동합니다.
측면 이동을 통해 공격자는 가능한 한 많은 컴퓨터에 랜섬웨어를 설치하거나 서버에 저장된 신용카드 데이터와 같은 기업 네트워크에서 중요한 데이터를 검색하는 임무를 수행할 수 있습니다.
일부 공격에서 내부 이동은 원격 인간 공격자가 관리하는 느리고 신중하며 은밀한 프로세스입니다. 다른 공격에서는 느슨한 관리 권한 또는 패치되지 않은 취약성을 활용하는 악성코드로 자동화된 엔드포인트를 빠르게 통과시킵니다.
When the NotPetya worm struck the computer network of Moller-Maersk, the world’s largest shipping container company, in 2017, the malware spread across the international company’s global computer network within minutes, shutting down operations and eventually costing the company $300 million.
IT 조직이 수평 이동을 방지할 수 있는 한 가지 방법은 사용자 권한을 제한하는 것입니다. 이상적으로는 각 사용자의 액세스 권한이 작업을 수행하는 데 필요한 권한으로 제한되어야 합니다. 사용자는 명확한 이유 없이 계정 또는 엔드포인트에 액세스할 수 없어야 합니다.
유감스럽게도, 사용자 권한을 추적하는 것은 어려울 수 있으며, 특히 수만 명의 사용자 및 엔드포인트와 수십 개 또는 수백 개의 사용자 그룹이 있는 조직에서는 더욱 그렇습니다. 대부분의 조직에서 시간이 많이 걸리고 오류가 발생하기 쉬운 작업에 액세스할 수 있는 사람을 결정합니다. 너무 자주, 이는 사후 생각입니다.
Tanium Impact는 보안 팀이 측면 이동 경로를 검색하고 줄이는 데 도움이 됩니다.
IT 조직에 액세스 권한과 취약성을 분석하는 데 필요한 가시성을 제공하기 위해 Tanium은 탁월한 가시성과 제어를 통해 엔드포인트를 관리하기 위해 Tanium Platform 에 포함된 소프트웨어 제품인 Impact라는 새로운 모듈을 만들었습니다.
Tanium Impact는 사용자, 그룹 및 엔드포인트 간의 관계를 속도와 규모로 분석하여 내부 이동 가능성을 식별합니다. 관리 영역 및 수평 이동 위험을 시각화하고 맥락화할 수 있는 기능을 제공하여 복구 작업의 우선순위를 정할 수 있습니다.
Tanium Impact가 IT 조직이 사이버 공격의 내부 이동을 방지하는 데 도움이 되는 다섯 가지 방법은 다음과 같습니다.
1. Tanium Impact는 분석된 사용자, 그룹 및 엔드포인트를 오가는 가능한 내부 이동 경로를 표시합니다.
Impact는 측면 이동 가능성을 쉽게 이해할 수 있는 그래픽 표현을 제공합니다. 보안 분석가 및 운영 엔지니어가 복잡한 네트워크 다이어그램을 확대하고 이동하도록 요구하는 대신, Impact는 각 사용자, 그룹 및 엔드포인트와의 명확한 일련의 링크를 제공합니다.
내부 이동에 대한 포괄적인 분석을 위해 Impact는 인바운드 및 아웃바운드 경로 모두에 대해 보고합니다. 인바운드 경로는 네트워크의 다른 엔드포인트에서 엔드포인트에 로그인할 수 있는 다른 계정 및 엔드포인트를 표시합니다.
아웃바운드 경로는 엔드포인트 자체가 액세스할 수 있는 다른 계정 및 엔드포인트를 표시하므로 엔드포인트가 침해될 경우 취약할 수 있는 다른 엔드포인트가 표시됩니다.
두 보기 모두 특정 사용자 계정 또는 엔드포인트에 대한 보안 위험을 이해하는 데 필수적입니다.
2. Tanium Impact는 로컬 네트워크뿐만 아니라 전체 엔터프라이즈에 대한 액세스 데이터를 보고합니다.
대기업의 경우 보안 팀은 특정 위치의 엔드포인트뿐만 아니라 엔드포인트 전반에 걸쳐 내부 이동의 위험을 이해해야 합니다. 결국, 로그인 자격 증명에 액세스하면 공격자는 한 사무실 네트워크에서 다른 사무실 네트워크로 빠르게 이동할 수 있습니다.
Impact는 전체 엔터프라이즈에 대한 액세스 경로를 표시합니다. 이는 여러 사무실, 지역 및 데이터 센터에 분산된 수천 개, 심지어 수십만 개에 이르는 엔드포인트를 포함하도록 확장할 수 있는 포괄적인 단일 보고 도구입니다.
네트워크 규모에 관계없이 IT 팀은 Impact를 사용하여 관리 중인 엔드포인트의 내부 이동과 관련된 위험을 이해하고 관리할 수 있습니다.
3. Tanium Impact는 내부 이동 분석에 세션 데이터를 포함하므로 분석가는 몇 시간 또는 며칠 전에 시작된 공격과 관련된 위험을 이해할 수 있습니다.
사용자가 엔드포인트의 계정에 로그인하면 해당 로그인 자격 증명은 엔드포인트가 재부팅될 때까지 엔드포인트의 메모리에 남아 있을 수 있습니다. 공격자는 Mimikatz 와 같은 자격 증명 도난 도구를 사용하여 메모리에서 로그인 자격 증명, 해시, 토큰 및 PIN을 판독하므로 다른 엔드포인트에 액세스하는 데 사용할 수 있습니다.
Impact는 엔드포인트에 노출된 자격 증명을 추적함으로써 보안 분석가가 사용자 또는 엔드포인트와 관련된 보안 위험을 이해하는 데 도움이 됩니다.
이 정보를 수집하는 것은 내부 이동을 중지하는 데 중요합니다. 보안 분석가가 네트워크 침입을 감지하면 가능한 한 빨리 작업하여 침해된 엔드포인트와 다른 엔드포인트를 침해하는 데 사용할 수 있는 엔드포인트에 대한 사용자 권한을 찾아야 합니다.
Tanium Impact는 72 시간 동안 이 정보를 수집하여 분석가가 공격이 시작된 후 1~2일 이내에 탐지된 경우에도 측면 이동을 신속하게 추적할 수 있도록 지원합니다.
4. Tanium Impact는 엔드포인트, 사용자 또는 그룹의 잠재적 이동을 평가할 때 직접 제어 및 간접 제어를 모두 분석합니다.
직접 제어는 사용자가 엔드포인트에 대한 관리 제어를 가지고 있음을 의미합니다.
간접 제어는 사용자가 엔드포인트에 대한 관리 제어를 가진 하나 이상의 그룹에 속함을 의미합니다.
내부 이동의 위험을 이해하기 위해 보안 분석가는 엔드포인트의 직접 및 간접 제어에 대한 통찰력이 필요합니다.
많은 조직에서 액세스 권한은 시간이 지남에 따라 더 복잡해집니다. 사용자는 그룹에 할당되며 이러한 그룹 중 일부는 나중에 다른 그룹에 할당되며, 이는 다시 또 다른 그룹에 할당될 수 있습니다.
중첩된 그룹 구조는 복잡할 수 있지만 보안 분석가는 특정 사용자, 엔드포인트 또는 그룹과 관련된 위험을 효과적으로 관리할 수 있는지 이해해야 합니다.
사용자가 세션 데이터와 함께 엔드포인트에 대해 가지고 있는 직접 및 간접 제어를 분석함으로써 Impact는 보안팀에게 내부 이동의 위험을 평가하고 위험을 최대한 줄이는 데 필요한 포괄적인 가시성을 제공합니다.
간접/직접 제어 보기에는 관심 엔드포인트의 관리 영역이 표시됩니다.
5. Tanium Impact는 사용자/그룹/엔드포인트에 영향 등급을 할당하므로 IT 조직은 위험 완화에 주의를 기울여야 하는 엔드포인트 및 사용자 계정의 우선순위를 쉽게 지정할 수 있습니다.
Tanium Impact는 권한을 분석하고 측면 이동을 사용하여 공격에 대해 생성하는 노출에 따라 엔드포인트, 사용자 및 그룹에 영향 등급을 할당합니다.
영향 등급에 영향을 미치는 네 가지 요인:
- 사용자의 잠재적 인바운드 영향
- 엔드포인트별 잠재적 인바운드 영향
- 사용자의 잠재적인 아웃바운드 영향
- 엔드포인트에 의한 잠재적인 아웃바운드 영향
사용자/그룹/엔드포인트에 영향 등급을 할당하면 보안 팀이 두 가지 방식으로 도움을 받을 수 있습니다.
- 첫째, 내부 이동 위험에 대한 사전 예방적인 개선의 우선순위를 정하는 데 도움이 됩니다.
- 둘째, 보안 분석가가 Tanium Threat Response 또는 기타 보안 보고 도구에서 수신하는 경고의 우선순위를 정하는 데 도움이 됩니다. 보안 분석가가 두 개의 경고를 보고, 하나는 수평 이동의 가능성이 낮은 점수를 받고, 다른 하나는 매우 높은 점수를 받는다고 가정해 봅시다. 이 경우, 분석가는 높은 점수로 먼저 장치의 경고를 조사해야 한다는 것을 알고 있습니다.
Tanium Impact는 효과적인 사이버 방어에 필수적인 가시성을 제공합니다
최근의 사이버 공격에서 알 수 있듯이 범죄자들은 침투하는 거의 모든 기업 네트워크에서 빠르게 이동할 수 있습니다. 내부 이동을 통해 공격자는 공격 범위를 넓히고 기업의 귀중한 디지털 자산을 발견할 가능성을 높일 수 있습니다.
이러한 움직임에 참여하는 공격자의 능력을 줄이기 위해 IT 조직은 사용자, 엔드포인트 및 그룹에 대한 명확하고 상세하며 실행 가능한 보고가 필요합니다.
Tanium Platform의 일부로 추가 비용 없이 제공되는 Tanium Impact는 IT 조직이 내부 이동에 대응하는 데 필요한 통찰력을 제공합니다.
Tanium Impact는 IT 조직이 위험 관리에 적극적으로 참여하든 위협에 신속하게 대응하든 관계없이 효과적으로 행동하도록 지원하는 명확한 시각화 및 위험 분석을 제공합니다.
작동 중인 제품을 볼 준비가 되셨습니까? 지금 데모를 요청하십시오.
