How to Use Firewalls to Detect Lateral Movement in Network Attacks

Inspección y seguimiento de la sesión

Firewalls mantiene un seguimiento de las conexiones activas. Si un host que normalmente sólo navega por la web y verifica el email de repente abre conexiones SMB outbound hacia múltiples servidores, el firewall puede marcar esto como anomalous. El seguimiento de sesión también revela patrones inusuales como un solo host estableciendo muchas conexiones simultáneas a diferentes objetivos internos, un signo clásico de un atacante escaneado para sistemas valiosos.

Inspección de la capa de aplicación

Los NGFW pueden identificar aplicaciones independientemente del puerto que utilizan. Por ejemplo, un atacante puede túnel RDP sobre HTTPS para evitar un puerto de bloqueo de reglas de cortafuegos 3389. Un firewall de software de aplicaciones puede detectar el protocolo RDP dentro del túnel cifrado o reconocer la firma de herramientas como PsExec o WinRM. Esta capacidad es esencial para detectar el movimiento lateral que se esconde en puertos no estándar.

Detección basada en el comportamiento y la anomalía

Algunos cortafuegos avanzados incorporan el aprendizaje automático para establecer una línea de referencia de los patrones normales de tráfico. Una vez que se aprende la base de referencia, el cortafuegos puede detectar puntos inusuales en solicitudes de autenticación, transferencias de datos o intentos de conexión. Por ejemplo, si un departamento de finanzas comienza a comunicarse con el controlador de dominio docenas de veces por minuto, el firewall puede generar una alerta, incluso si el tráfico pasaría de otra manera estándar de comprobación de firma.

Configuración de cortafuegos para detección de movimientos laterales

Tener las características de firewall correctas es sólo la mitad de la batalla. Usted debe configurarlas inteligentemente para atrapar el movimiento lateral sin ahogar a su equipo en falsos positivos. A continuación se presentan estrategias de configuración específicas:

Implementar su red y cumplir reglas estrictas

La segmentación de la red es la base. Divide tu red en zonas: usuarios, servidores, DMZ, administración y huésped. Colocar firewalls entre segmentos y aplicar reglas que sólo permiten el tráfico necesario. Por ejemplo, los servidores no deben iniciar conexiones externas a estaciones de trabajo en la mayoría de los casos. Si un servidor comienza a conectarse a muchas estaciones de trabajo, es decir, un indicador fuerte de movimiento lateral.

Monitor de tráfico de autenticación

Configurar la tala de cortafuegos para capturar tráfico relacionado con la autenticación como Kerberos (UDP 88), LDAP (389), SMB (445), y RDP (3389).

• Múltiples intentos de autenticación fallidos seguidos por un exitoso (un patrón de fuerza bruta o de rociado de contraseña)
• Una dirección IP que autentique a muchos sistemas diferentes en un corto período
• Autenticaciones de un host que normalmente no realiza tales acciones (por ejemplo, un ordenador de recepcionista que se conecta a un servidor SQL)

Alerta sobre Escáner de Puerto Interno

Los atacantes suelen escanear sistemas internos para encontrar puertos y servicios abiertos. Aunque el escaneo portuario no siempre es malicioso, es un precursor común para el movimiento lateral. Configurar su firewall para detectar y alertar sobre escaneos: un IP de una sola fuente que intenta conexiones a múltiples IPs de destino en el mismo puerto en un intervalo corto es una firma de escaneo. Muchos firewalls tienen módulos de detección de escaneo integrados que pueden ser habilitados.

Detectar el Tunelaje y la Encapsulación del Protocolo

Los atacantes suelen túnel de tráfico malicioso dentro de protocolos permitidos como HTTP, HTTPS o DNS. Un NGFW con inspección profunda del paquete (DPI) puede mirar dentro del tráfico HTTPS (si termina la inspección SSL en el cortafuegos) para detectar el abuso del protocolo. Para DNS, patrones de consulta inusuales o grandes respuestas DNS pueden indicar el túnel DNS, que a veces se utiliza para el mando y el control así como el movimiento lateral.

Use las integraciones de la conducta de usuario y de la Entidad (UEBA)

Muchos equipos de seguridad integran registros de firewall con plataformas de la UEBA que perfilan el comportamiento normal para usuarios y dispositivos. Cuando un usuario nunca se conecta a un servidor de repente a múltiples servidores a través de RDP, el sistema de la UEBA puede desencadenar una alerta. Firewalls que exportan registros detallados en formatos estándar (como syslog o NetFlow) hacen que esta integración sea sin problemas.

Detección avanzada: Más allá del firewall Solo

Aunque los cortafuegos son indispensables, son más eficaces cuando se integran en un ecosistema de detección más amplio. Considere estas estrategias complementarias:

SIEM Integración y Correlación

Envíe sus registros de firewall a una solución de información de seguridad y gestión de eventos (SIEM) como Splunk, Elastic o Azure Sentinel. El SIEM puede correlacionar datos de firewall con registros de detección y respuesta de puntos finales, registros de autenticación Active Directory y escáneres de vulnerabilidad. Por ejemplo, un SIEM puede correlacionar una alerta de firewall inusual con una alerta EDR que muestra que el proceso sospechoso de funcionamiento de una fuente.

Amenazas de Inteligencia

Suscríbete a los feeds de inteligencia de amenaza que incluyen direcciones IP maliciosas, dominios y hashes conocidos. Algunos firewalls pueden consumir estos feeds automáticamente y bloquear o bloquear el tráfico de banderas de fuentes maliciosas. Si un host interno comprometido intenta comunicarse con un servidor de comandos y control externo, el firewall puede bloquearlo y alertar al equipo de seguridad inmediatamente.

Tecnología de los puntos de miel y el engaño

Deploy honeypots — sistemas de decoy que imitan servidores reales — dentro de su red. Los atacantes que realizan movimiento lateral son probablemente descubrir e interactuar con estos decoys. Cuando lo hacen, la mancha de miel registra la interacción, y el firewall puede proporcionar una alerta adicional, especialmente si el IP que ataca intenta conectarse a múltiples decoys. Esta combinación es una forma muy eficaz de capturar el movimiento lateral temprano.

Ejemplos del Movimiento Real-Mundo de Detección de Movimientos Laterales a través de cortafuegos

Para llevar estos conceptos a la vida, considere algunos escenarios:

• Scenario A — SMB Scanning: Una estación de trabajo infectada con malware comienza a escanear la red interna en el puerto 445 para sistemas vulnerables. El firewall detecta 200 intentos de conexión de salida de esa IP en 30 segundos y activa una alerta de escaneo portuario. El equipo de seguridad aísla al host antes de que el atacante pueda moverse a otra máquina.
• ]Scenario B — RDP Jump: Un atacante roba credenciales de un empleado de escritorio de ayuda y utiliza RDP para conectarse a un servidor de archivos. El firewall registra la sesión RDP de una estación de trabajo que nunca se conectaba previamente a ese servidor. El SIEM correlaciona esto con un login fuera de las horas y escala la alerta como un posible incidente de movimiento lateral.
• Scenario C — PsExec Abuse:] Un atacante utiliza PsExec para ejecutar comandos en un controlador de dominio. El firewall ve al SMB llamado tráfico de tuberías asociado con PsExec y lo marca, aunque el tráfico está en un puerto estándar. El equipo de seguridad recibe la alerta en cuestión de segundos y puede comprobar los registros de puntos finales para el proceso malicioso.

Desafíos y limitaciones de detección basada en cortafuegos

No hay método de detección es perfecto. Los cortafuegos enfrentan desafíos específicos al detectar el movimiento lateral:

Tráfico cifrado

El malware moderno y los atacantes utilizan cada vez más el cifrado para evitar la detección. Si un firewall no puede inspeccionar el contenido del tráfico cifrado, debe confiar en metadatos — fuente IP, destino IP, puerto y tiempo. Esto reduce la fidelidad de detección. La inspección SSL/TLS es una solución, pero requiere una aplicación cuidadosa para evitar romper el tráfico legítimo y debe cumplir con las regulaciones de privacidad.

Ataques de vida-fu-la-la-ca-ca-ca-ca-ca-ta-ata

Los atacantes suelen utilizar herramientas nativas como PowerShell, WMI o tareas programadas que generan tráfico indistinguible de la actividad administrativa normal. Los cortafuegos pueden no distinguir entre un administrador de TI legítimo que ejecuta un mando remoto y un atacante que hace lo mismo. Aquí es donde las bases de conducta y las herramientas de la UEBA se vuelven críticas, ya que pueden detectar desviaciones de patrones normales incluso si las herramientas son las mismas.

Falsos Positivos

Las reglas de detección agresiva pueden generar un alto volumen de falsos positivos, lo que lleva a alertar la fatiga. Por ejemplo, el tráfico legítimo de gestión de TI —como software de copia de seguridad, herramientas de gestión de parches o agentes de monitoreo— puede parecer movimiento lateral. Es esencial para blanqueador conocido buen tráfico fuentes y alertas de revisión cuidadosamente antes de ajustar reglas.

Evasión de un solo punto

Un atacante experto que conoce tus reglas de cortafuegos puede intentar evadir la detección mediante el uso de puertos y protocolos que se permiten, o mediante la difusión de sus actividades a través de una ventana de tiempo más larga. Esto subraya la necesidad de una defensa de muerte que combina firewalls con detección de punta, monitoreo de autenticación y análisis de comportamiento.

Mejores prácticas para utilizar cortafuegos para detectar movimientos laterales

Sobre la base de lo anterior, aquí se encuentra un conjunto consolidado de mejores prácticas: