El movimiento lateral es el conjunto de técnicas que usan los atacantes, tras la intrusión inicial, para pasar de un sistema comprometido a otros dentro de la misma red.
Cómo funciona el movimiento lateral
El primer equipo infectado rara vez es el verdadero objetivo. Los atacantes exploran la red, recopilan credenciales y avanzan hacia sistemas valiosos: controladores de dominio, servidores de archivos, copias de seguridad y bases de datos. MITRE ATT&CK lo recoge como una táctica propia (TA0008).
Métodos habituales:
- herramientas de administración integradas como RDP, SSH, PsExec, WMI y WinRM;
- reutilización de contraseñas, hashes y tickets Kerberos robados (pass-the-hash, pass-the-ticket);
- explotación de servicios internos sin parchear;
- abuso de plataformas de gestión, como las de despliegue de software o monitorización remota.
Mimikatz extrae credenciales de la memoria y BloodHound traza rutas hacia los permisos de administrador de dominio en Active Directory.
Por qué es importante para la seguridad
El movimiento lateral es lo que convierte un portátil infectado en un incidente de ransomware en toda la empresa o en una campaña de espionaje de meses de un grupo APT. Como usa herramientas legítimas y cuentas válidas («living off the land»), se confunde fácilmente con el tráfico normal.
El tiempo de detección es decisivo: cuanto antes se descubre al atacante, menos sistemas se ven afectados.
Cómo protegerse
- Segmente la red y permita los protocolos de administración solo desde equipos dedicados (confianza cero).
- Use contraseñas únicas de administrador local, cuentas de administración por niveles y MFA resistente al phishing.
- Recopile y correlacione los registros de autenticación y alerte ante actividad inusual de RDP, SMB y ejecución remota (EDR, SIEM).
- Mantenga las copias de seguridad aisladas para que no se puedan alcanzar desde la red de producción.
