防止企业网络横向移动的指南。

本指南解释了系统所有者如何防止和检测其企业网络内的横向移动。它将帮助：

实施下述建议的安全控制措施（包括监测以检测横向移动的早期阶段）可以减少严重损坏的可能性。

(相关资料图)

攻击者在网络中获得初步立足点后，他们通常会寻求扩大和巩固该立足点，同时进一步访问有价值的数据或系统。这种活动称为横向运动。

在主机最初受到攻击后，横向移动的第一步是对网络进行内部侦察。这让攻击者了解他们在网络中的位置及其整体结构。为了巩固其存在并保持持久性，攻击者通常会尝试危害其他主机并升级其权限，最终获得对其目标（例如域控制器、关键系统或敏感数据）的控制。

攻击者收集的任何凭据都将使他们（看起来是）合法访问更多主机和服务器。一旦达到目标，数据就可能被泄露，或者系统和设备可能被破坏。

NCSC 的恶意软件缓解指南中建议的安全控制可以降低初始攻击成功的风险。但是，您应该假设拥有足够时间和资源的攻击者最终会成功。因此，重要的是：

具有强大边界保护但没有内部安全性的网络使攻击者在获得访问权限后可以自由地穿越网络。他们能够立足的时间越长，实现目标的机会就会越大。

应用以下保护措施将赢得时间，并更容易检测横向移动的尝试。

网络上的所有凭据，尤其是管理员帐户的凭据，都应得到充分保护，以防止攻击者使用它们来访问设备和系统。

一种常见的攻击类型涉及窃取安全令牌以访问另一台设备或服务器。“传递哈希值”就是一个例子，其中使用窃取的哈希值来验证攻击者的身份。用户或系统不应以纯文本形式存储密码，并且应保护密码哈希值以防止攻击者轻松访问它们。

用于对设备进行身份验证的凭据（以及用于对服务进行身份验证的凭据）都需要受到设备的保护。支持硬件支持的凭证存储的设备将更好地保护这些凭证。除批准用于工作用途的设备外，不应将工作凭证输入任何其他设备，因为这些设备可能无法充分保护凭证。

身份验证对于用户来说应该很容易，但攻击者很难获得访问权限。请遵循NCSC 密码指南，以确保策略遵循最佳实践。例如，不要在不同的系统中重复使用密码，并考虑在组织中使用密码管理器。这将限制以纯文本形式存储凭据的用户数量。

如果尚未获取凭据，登录限制（例如密码锁定和限制）会减少攻击者与主机进行身份验证的机会。确保单个账户无法授予对企业内所有设备和组件的访问权限，特别是当这些账户具有特权时。

面向互联网的服务应使用多重身份验证 (MFA)，以对抗暴力破解和密码猜测攻击。MFA 还可以用作恶意软件无法远程使用的高权限设备上的物理独立因素。

单点登录 (SSO) 可用于限制使用的密码数量并减少密码被盗的可能性。我们还鼓励使用替代技术身份验证方法，例如生物识别、一次性登录链接（魔术链接）、智能卡和硬件支持的 PIN。

本地和域管理账户（可以访问大多数系统和数据）是网络中的强大工具。它们的使用应受到严格控制和锁定。

管理员应使用单独的账户；一个用于日常业务使用（例如网页浏览和电子邮件），另一个是仅应在单独的管理设备上使用的特权管理员帐户。这降低了受感染设备被用于管理目的的风险。

应阻止管理员账户浏览网页和访问电子邮件，并且仅在任务需要提升权限时使用。

应尽可能实施“最小权限”原则（账户和用户拥有执行其角色所需的最小访问权限）。管理帐户的分层模型确保它们只能访问所需的特定管理功能，而不是全部。使用各种级别的管理账户可以限制正在使用的极高特权账户的数量，并且如果较低特权的管理员账户受到威胁，则可以减少攻击者获得的访问权限。

通常不应使用在整个企业中具有完全权限的账户（例如域管理员、全局管理员或云管理员账户） 。虽然某些任务（例如最初构建网络、执行升级、创建新的特权帐户或灾难恢复）需要它们，但大多数其他任务应使用较低层的管理账户。

使用基于时间的特权访问可以帮助减少管理员凭据泄露的影响，特别是因为每次用户请求或接收它时都会对其进行审核。识别高风险设备、服务和用户可以帮助规划授予的权限，确保风险最高的人拥有最低的权限。

属于网络一部分的任何设备或系统（即使是那些没有直接连接到互联网的设备或系统）都可能成为攻击横向移动阶段的目标。所有设备应保持最新状态，并尽快部署最新补丁。自动更新也可用于简化此过程，尽管确保冗余设备对在不同时间更新以保持冗余非常重要。

应按照NCSC 移动设备指南安全地配置端点。如果可能，应将应用程序列入允许列表，以便只有经过批准的应用程序才能运行。这也可以通过使用仅允许安装和运行来自受信任来源的应用程序的体系结构来完成。

除了网络边界上的防火墙之外，还应启用主机上的本地防火墙以限制不必要的入站和出站流量。默认情况下，防火墙应阻止所有入站连接（例如 SMB）并仅允许您需要的连接。应定期审查批准的连接列表，以删除不再需要的连接。

应尽可能启用安全启动机制，以确保设备上启动过程的完整性，并增加攻击者获得设备持久性的难度。

最后，请遵循宏安全指南以降低恶意宏的风险。

网络分段（或隔离）涉及将网络分成不同的网段。这极大地增加了攻击者进入网络后达到其目标的难度，因为他们的入口点可能没有任何手段到达目标数据或系统。

不需要相互通信或交互的系统和数据应该被分成不同的网段，并且只允许用户访问需要的网段。正如我们的网络安全指南中所述，“将网络按集合隔离：识别、分组和隔离关键业务系统，并对它们应用适当的网络安全控制。”

这些安全控制措施应确保源自网络边界内的所有数据和连接不会自动受到信任。ISO27001 和 27002标准提供了有关网络分段的一些见解以及在网络中实施此分段的最佳实践。

监控网络是否存在任何可能令人感兴趣的安全事件至关重要。随着新漏洞的不断发现，无论您的网络保护得有多好，坚定的攻击者最终都会获得访问权限。一旦发生这种情况，监控网络是识别违规行为并做出反应的唯一方法。我们的“网络安全 10 个步骤”中的网络监控部分提供了一个起点，我们的安全运营中心 (SOC) 买家指南提供了有关监控过程以及要寻找的内容的更多详细信息。

监控的基础是记录和存储潜在有趣的安全事件的日志。然后，系统可以分析这些日志并查找可能表明攻击者已破坏您的网络的可疑行为，并向责任人员发出警报。您应该在网络使用的系统和技术（例如防火墙和其他网络架构上的系统和技术）中启用任何日志记录和安全审核功能，以及操作系统内的日志记录。

了解网络中高价值资产的位置使您能够提供更详细、更敏感的警报。除了各种用户和帐户之外，高价值资产还可以包括网络中的重要服务和服务器（例如域控制器）。一些著名的用户包括：

应该熟悉整个网络，包括其结构及其使用方式。对所有可以连接到网络的设备进行审核，并定期更新以帮助识别非法使用。不寻常的活动可能出现在网络协议层上，但也可能出现在特定于应用程序的情况下，例如凭证使用和身份验证事件。

攻击者会尝试使用合法的工具和系统混入您平常的网络流量进行横向移动，这意味着它经常被典型的反病毒软件所忽视，并且更难以发现。了解攻击者可能使用的常见工具和流程将大大增加您识别它们的机会。

网络监控的最大挑战是识别真正的安全事件，而不是网络中存在的大量“噪音”中常见的误报。了解您的网络及其用户的典型行为可以帮助减轻误报问题，因为您会变得更加善于发现异常活动。通过对网络进行分段，您有机会重点监控网段之间创建的流量焦点。

蜜罐是专门为了受到攻击而设置的系统。

在网络内部设置的生产蜜罐作为真实系统的诱饵，可以成为检测网络入侵的宝贵工具。由于蜜罐不是网络上的合法系统（并且不包含真实数据或服务），因此意外连接可以被认为是恶意活动（因为真正的用户不需要访问蜜罐）。如果您检测到与蜜罐的交互，应立即进行调查。生产蜜罐应用于补充网络监控和其他入侵检测技术。

研究蜜罐不会直接使网络受益，但其目的是收集有关攻击者使用的最新技术的信息。

使用蜜罐确实会带来一些风险。研究蜜罐本质上是有风险的，因为它们鼓励攻击者与其交互。生产蜜罐的风险较小，但仍然会给组织带来一些风险，具体取决于其复杂程度。例如，它们可能被利用并用作平台，在横向移动期间对网络中的合法系统发起攻击。

由于这些原因，只有在评估了不正确实施的影响并且组织拥有相关专业知识的情况下才应使用蜜罐。