Mouvement latéral : techniques et détection SOC

Le mouvement latéral désigne l'ensemble des techniques utilisées par un attaquant pour progresser d'un système compromis vers d'autres ressources du réseau interne, après une intrusion initiale. Le mouvement latéral repose sur l'abus de protocoles légitimes : SMB, RDP, WMI, WinRM, ou encore DCOM. L'attaquant réutilise des identifiants capturés en mémoire ou des tickets Kerberos forgés pour s'authentifier sur des hôtes voisins sans déclencher d'alerte évidente. Cette phase est centrale dans la chaîne d'attaque MITRE ATT&CK (tactique TA0008). Elle permet d'atteindre des actifs à haute valeur, comme un contrôleur de domaine ou un serveur de fichiers sensible. La furtivité est maximale car les outils natifs de Windows — PowerShell, PsExec, wmic.exe — sont fréquemment détournés. Le risque principal est l'élévation progressive des privilèges combinée à une propagation silencieuse, rendant le confinement tardif très coûteux pour les équipes de réponse à incident.

La détection du mouvement latéral s'appuie sur l'analyse fine des journaux d'événements Windows et des flux réseau internes. L'événement 4624 (type 3 — ouverture de session réseau) combiné au 4648 (ouverture de session avec credentials explicites) signale un accès latéral suspect. L'événement 4688 trace les créations de processus : une exécution de wmic.exe, psexec.exe ou schtasks.exe depuis un poste utilisateur est anormale. Côté Kerberos, les événements 4768 et 4769 permettent de détecter des demandes de tickets inhabituelles, notamment le Pass-the-Ticket. Le SIEM doit corréler les connexions SMB inter-postes hors périmètre serveur. Sysmon (EventID 1, 3, 7) enrichit la visibilité sur les processus et connexions réseau. Un pic de connexions NTLM vers plusieurs hôtes en peu de temps est un indicateur fort. Des outils comme Velociraptor, Elastic SIEM ou Microsoft Sentinel permettent de construire des règles de détection comportementale basées sur ces patterns. La baseline du comportement utilisateur est indispensable pour réduire les faux positifs.

Côté Red Team, le mouvement latéral s'exécute via des techniques éprouvées. Pass-the-Hash permet de s'authentifier avec un hash NTLM capturé via Mimikatz (sekurlsa::logonpasswords) sans connaître le mot de passe en clair. Pass-the-Ticket exploite des tickets Kerberos TGT ou TGS volés. Impacket (psexec.py, wmiexec.py, smbexec.py) offre des primitives d'exécution distante légères et modulaires. CrackMapExec facilite le spray d'identifiants sur des plages d'hôtes. Pour la Blue Team, les contre-mesures prioritaires sont : activer Credential Guard pour protéger les secrets LSASS, désactiver NTLM au profit de Kerberos, segmenter le réseau avec des règles de micro-segmentation entre postes de travail, et restreindre les droits d'administration locale via les GPO (LAPS pour les mots de passe locaux). Le principe du moindre privilège limite mécaniquement la portée d'un pivot réussi. La surveillance des comptes de service à hauts privilèges est critique, car ils sont souvent la cible intermédiaire vers le contrôleur de domaine.