Lateral Movement

Lateral Movement adalah istilah yang digunakan dalam keamanan siber untuk menggambarkan pergerakan seorang penjahat siber di dalam jaringan setelah berhasil menyusup ke sistem perusahaan. Setelah mendapatkan akses awal, pelaku tidak hanya berfokus pada satu titik, tetapi mencoba untuk berpindah ke area atau sistem lain di dalam jaringan tersebut untuk memperluas akses mereka dan mencari data atau informasi yang lebih berharga.

Pergerakan lateral ini memungkinkan pelaku untuk mengeksplorasi berbagai bagian dari infrastruktur jaringan, mendapatkan hak akses lebih tinggi, atau menemukan lebih banyak kelemahan keamanan yang bisa dieksploitasi. Dalam banyak kasus, tujuan akhirnya adalah mencuri data sensitif, mengakses sistem penting, atau melancarkan serangan lebih lanjut seperti ransomware.

Untuk mencegah lateral movement, penting bagi perusahaan untuk menerapkan segmentasi jaringan, pemantauan aktivitas jaringan yang ketat, serta kebijakan hak akses minimal (least privilege) yang memastikan bahwa pengguna hanya memiliki akses ke sumber daya yang diperlukan sesuai peran mereka.

Istilah lain

Lateral Movement adalah teknik yang digunakan oleh peretas untuk berpindah dari satu sistem ke sistem lain dalam jaringan setelah mereka berhasil mendapatkan akses awal ke suatu perangkat atau akun. Tujuan utama dari lateral movement adalah untuk menemukan dan mendapatkan kontrol atas aset yang lebih bernilai, seperti data sensitif, kredensial akun penting, atau kontrol penuh atas sistem.

Serangan ini sering terjadi dalam Advanced Persistent Threats (APT), di mana peretas tetap berada dalam jaringan selama mungkin untuk mengumpulkan informasi tanpa terdeteksi.

Tahapan Lateral Movement

Lateral Movement biasanya terjadi dalam beberapa tahap setelah akses awal diperoleh:

1. Rekognisi Internal (Internal Reconnaissance)

Setelah masuk ke jaringan, peretas akan melakukan pemetaan terhadap sistem yang ada untuk mencari target yang lebih bernilai. Teknik yang digunakan meliputi:

Scanning Jaringan: Menggunakan alat seperti Nmap atau BloodHound untuk memetakan perangkat dan pengguna dalam jaringan.
Enumerasi Akun & Hak Akses: Menggunakan perintah seperti net user /domain atau whoami /priv untuk melihat hak istimewa yang tersedia.
Analisis Log & File Konfigurasi: Mencari file yang berisi kredensial yang bisa digunakan untuk meningkatkan hak akses.

2. Eskalasi Hak Akses (Privilege Escalation)

Jika akun awal yang didapatkan memiliki hak akses terbatas, peretas akan mencoba meningkatkan hak akses mereka dengan cara:

Eksploitasi Kerentanan: Memanfaatkan kelemahan di sistem, seperti CVE-2023-23397 di Microsoft Outlook.
Credential Dumping: Menggunakan alat seperti Mimikatz untuk mendapatkan hash password atau token autentikasi.
Brute Force & Password Spraying: Menguji kombinasi username dan password yang umum digunakan.

3. Eksploitasi & Pindah Antar Sistem (Lateral Movement)

Setelah mendapatkan hak akses yang cukup, peretas mulai berpindah antar sistem menggunakan beberapa teknik:

Remote Desktop Protocol (RDP): Mengakses sistem lain dengan kredensial curian melalui RDP.
Windows Management Instrumentation (WMI): Menggunakan perintah wmic untuk menjalankan perintah di sistem lain.
PsExec: Menjalankan perintah dari jarak jauh pada sistem Windows.
Pass-the-Hash & Pass-the-Ticket: Menggunakan hash password atau tiket autentikasi yang telah dicuri untuk mengakses sistem tanpa perlu mengetahui password asli.
SSH Hijacking: Menyalahgunakan sesi SSH aktif untuk masuk ke server lain dalam jaringan.

Contoh Kasus Lateral Movement

Serangan SolarWinds (2020)

Dalam serangan ini, kelompok peretas yang diduga berasal dari Rusia berhasil menyisipkan malware ke dalam pembaruan perangkat lunak SolarWinds Orion. Setelah sistem target menginstal pembaruan yang sudah disusupi, peretas memperoleh akses awal dan mulai melakukan lateral movement ke berbagai sistem dalam jaringan, termasuk jaringan pemerintahan AS.

Teknik yang digunakan:

Credential Dumping dengan Mimikatz
Penggunaan PsExec dan WMI untuk remote execution
Pass-the-Ticket untuk mengakses server dan database kritis

Cara Mendeteksi dan Mencegah Lateral Movement

1. Deteksi Dini

Monitor Log Aktivitas: Gunakan SIEM (Security Information and Event Management) seperti Splunk atau Microsoft Sentinel untuk memantau aktivitas yang mencurigakan.
Anomali dalam Autentikasi: Perhatikan login dari lokasi atau perangkat yang tidak biasa.
Deteksi Penggunaan Alat Remote Execution: Waspadai penggunaan PsExec, RDP, atau WMI yang tidak sah.

2. Pencegahan & Mitigasi

Prinsip Least Privilege: Batasi hak akses hanya untuk yang benar-benar diperlukan.
Implementasi Multi-Factor Authentication (MFA): Kurangi risiko pencurian kredensial.
Segmentasi Jaringan: Gunakan VLAN atau Zero Trust Architecture untuk membatasi akses antar sistem.
Patch Management: Selalu perbarui sistem dengan patch terbaru untuk mengurangi risiko eksploitasi.
Honeypot & Deception Technologies: Gunakan umpan untuk mendeteksi peretas sebelum mereka mencapai target utama.

Lateral Movement adalah salah satu teknik paling berbahaya dalam serangan siber, karena memungkinkan peretas untuk mengeksplorasi jaringan dan mengambil data sensitif tanpa terdeteksi. Dengan memahami cara kerja lateral movement serta menerapkan strategi deteksi dan mitigasi yang efektif, organisasi dapat meningkatkan keamanan siber mereka dan mencegah ancaman yang lebih besar.