Cyber Crucible peut-il arrêter le mouvement latéral d'un attaquant ?

Le moteur comportemental du produit et les méthodologies Zero Trust permettent de recueillir efficacement des preuves de mouvement latéral.

Il peut s’agir de preuves de mouvement latéral de processus à processus sur la machine elle-même, ou de la découverte du point d’entrée d’un attaquant dans le système à partir d’un système distant, lors de la réalisation d’une analyse des causes profondes (Root Cause Analysis).

Les programmes et leurs arguments associés aux méthodes d’injection de processus et aux processus « living off the land » ouvrant d’autres processus sont capturés et envoyés à Cyber Crucible.

Grâce à l’analyse comportementale des processus au niveau du noyau, aucun processus n’est trop privilégié pour être observé et signalé par Cyber Crucible (y compris d’autres pilotes de noyau, voire d’autres outils de sécurité des postes de travail).

Des réponses automatisées de contre-extorsion se déclenchent dès que des actions d’extorsion de données ou de chiffrement par rançongiciel sont amorcées.

Par exemple, voici une vidéo démontrant un mouvement latéral à travers une machine, utilisant des techniques en mémoire, et l’exploit Log4J. Veuillez noter que la suspension automatisée du ou des processus concernés est intervenue après le début des comportements de vol de données et de rançongiciel.

Un autre exemple de cette dynamique démontre l’utilisation par un attaquant pour ouvrir un shell Windows. L’observation a permis de capturer toutes les preuves, mais l’activité a été suspendue dès que le shell Windows a commencé à tenter des activités d’extorsion de données (dans ce cas, un vol de données).

Enfin, la migration depuis un navigateur exploité est également observée, et dans ce cas, l’attaquant n’a jamais réussi à se déplacer depuis le navigateur Chrome exploité, grâce à la surveillance de l’état de la mémoire du navigateur :