Movimento lateral é o conjunto de técnicas que um invasor usa para saltar entre sistemas após o acesso inicial, usando credenciais roubadas e ferramentas legítimas como PsExec, WMI e RDP. Para o SOC, detectá-lo exige correlacionar Event IDs do Windows (4624 tipo 3, 7045, 5140) em janelas curtas, antes que o atacante alcance credenciais de domínio.
O que é movimento lateral
Movimento lateral é o conjunto de técnicas que um invasor usa para saltar de um sistema comprometido para outros dentro da rede, após obter acesso inicial. É a fase que separa um incidente contido em um único host de um comprometimento em escala: segundo o MITRE ATT&CK, ela reúne as táticas da categoria TA0008 (Lateral Movement), e dados recentes da Vectra AI mostram que 84% dos ataques de alta gravidade abusam de ferramentas legítimas do sistema justamente para tornar esse deslocamento difícil de distinguir da administração rotineira. Para o analista de SOC, detectar essa atividade significa encurtar o tempo de permanência do adversário antes que ele alcance credenciais de domínio — momento a partir do qual a contenção passa a custar muito mais.
Três fases e seus rastros
A estrutura clássica de um ataque com movimento lateral segue três estágios, conforme detalha o guia da CyberDefenders. No primeiro, o invasor faz reconhecimento e descoberta: enumera grupos, usuários e relações de confiança do Active Directory com ferramentas como net.exe, nltest, SharpHound e AdFind. No segundo, executa o pivô propriamente dito usando protocolos legítimos — SMB, RDP, WinRM e WMI — com credenciais roubadas. No terceiro, escala privilégios e busca o comprometimento do domínio com técnicas como DCSync, Golden Ticket e Skeleton Key.
Cada estágio produz um conjunto diferente de eventos. A tarefa do SOC é construir regras de detecção específicas para cada um, com janelas de correlação curtas, porque o movimento lateral acontece rápido: dados de 2026 indicam que o tempo médio para um atacante sair de um endpoint comprometido para o próximo sistema gira em torno de 34 minutos.
Event IDs do Windows para monitorar
A detecção de movimento lateral no Windows depende quase inteiramente de logs de segurança bem coletados e normalizados para correlação em tempo quase real. A tabela abaixo consolida os identificadores de evento mais relevantes, suas técnicas associadas no MITRE ATT&CK e o comportamento suspeito que cada um revela. Sem esses logs centralizados via Windows Event Forwarding e Sysmon, qualquer playbook de detecção falha por falta de visibilidade.
| ID do Evento | Descrição | Técnica ATT&CK | Comportamento suspeito |
|---|---|---|---|
| 4624 (tipo 3) | Logon de rede via SMB, PsExec ou WinRM | T1021.002 | Vários logons do mesmo usuário em hosts distintos em janela curta |
| 4648 | Uso explícito de credenciais | T1550 | Replay de credenciais ou pass-the-hash |
| 7045 | Instalação de serviço remoto | T1569.002 | PsExec ou WMI criando serviço para execução remota |
| 5140 / 5145 | Acesso a compartilhamento administrativo | T1021.002 | Acesso a \\ADMIN$ ou \\C$ em pivot |
| 4662 | Abuso de replicação de diretório | T1003.006 | DCSync executado por conta não autorizada |
| 4768 / 4769 | Solicitação de tickets Kerberos | T1558 | Indicador de Golden Ticket ou Silver Ticket forjado |
Detectando PsExec, WMI, RDP e WinRM
Cada ferramenta de movimento lateral deixa uma assinatura distinta nos logs. O PsExec, por exemplo, cria um serviço temporário no host de destino — o que dispara o evento 7045 seguido de um logon de rede tipo 3 e acesso ao compartilhamento ADMIN$. Correlacionar esses três sinais em uma janela de cinco minutos produz um alerta de alta confiança, com baixo índice de falso positivo. Já o WMI permite execução remota via wmic.exe ou assinaturas de evento permanentes, usadas tanto para pivô quanto para persistência, conforme documentado em pesquisas de detecção de movimento lateral no Active Directory da Splunk.
O RDP, por sua vez, gera logons tipo 10 (RemoteInteractive) e tráfego na porta 3389 entre estações de trabalho — algo que normalmente não deveria ocorrer entre endpoints de usuários comuns. O WinRM, base do PowerShell remoting, produz logons tipo 3 e tráfego na porta 5985/5986. A regra prática: mapeie o fluxo esperado de administração da sua organização e alerte quando contas de usuário comum, service accounts ou estações de trabalho iniciarem conexões RDP, WinRM ou acesso a compartilhamentos administrativos fora desse padrão.
O desafio das ferramentas legítimas
O calcanhar de Aquiles da detecção de movimento lateral é o uso de ferramentas legítimas — a abordagem conhecida como Living off the Land (LOTL). Segundo a Vectra AI, o PowerShell aparece em cerca de 71% dos ataques LOTL, e o projeto LOLBAS documenta mais de 200 binários assinados da Microsoft que podem ser abusados. Quando um analista usa PowerShell para gerenciar servidores, a atividade é visualmente idêntica à de um invasor fazendo reconhecimento ou baixando um payload em memória. A diferença está no contexto: processo pai anômalo, comandos codificados em base64, execução a partir de diretórios temporários e relações de processo inesperadas.
O caso mais emblemático é o do grupo Volt Typhoon, vinculado a atores patrocinados pelo Estado chinês, que manteve acesso não detectado a infraestrutura crítica dos Estados Unidos por mais de cinco anos usando exclusivamente técnicas LOTL. A orientação conjunta da CISA, NSA e FBI deixa claro: o grupo não dependia de malware, mas de funções nativas do sistema, o que neutraliza antivírus baseados em assinatura. A lição para o SOC é que detecção de LOTL exige análise comportamental, script block logging do PowerShell, telemetria de Sysmon e baselines de uso administrativo — nunca uma caça a ameaças reduzida a hash ou nome de arquivo.
Resposta: quando o alerta dispara
Quando uma regra de movimento lateral confirma um evento verdadeiro, a velocidade da resposta determina o impacto final. As ações prioritárias, em ordem, são: isolar imediatamente os hosts de origem e de destino via EDR, com contenção automática acionada pelo SOAR; desativar as contas comprometidas e forçar reset de credenciais; investigar acesso ao LSASS (evento 4656) para confirmar roubo de credenciais; e revisar 48 horas de árvore de processos e logs de rede em busca de tentativas de pivô adicionais. Se houver indício de comprometimento de domínio — DCSync, evento 4662 anômalo ou tickets Kerberos suspeitos —, declare incidente maior, entre em modo de comando de incidente e prepare o reset duplo da conta KRBTGT (com 24 horas de intervalo) para invalidar tickets forjados.
Erros que ocultam o movimento lateral
A maioria dos SOCs que falha em detectar movimento lateral repete os mesmos erros estruturais. O primeiro é a coleta insuficiente de logs: sem Sysmon implantado em todos os endpoints e sem Windows Event Forwarding dos controladores de domínio, não há telemetria para correlacionar. O segundo é ignorar o comportamento de service accounts — alvo preferencial de movimento lateral porque acumulam privilégios e raramente têm baseline definido. O terceiro é adiar a escalonamento: regras críticas que dependem de validação manual mantêm o tempo de permanência alto. Por fim, redes planas, sem segmentação, permitem que o invasor viaje sem restrição entre zonas sensíveis — o que torna a detecção irrelevante diante de um caminho livre até os controladores de domínio.
Referências
- CyberDefenders — SOC Playbook: Lateral Movement Detection and Response Guide
- Vectra AI — Living Off the Land (LOTL) Attacks
- MITRE ATT&CK — Lateral Movement (TA0008)
- CISA, NSA e FBI — Advisory AA23-144A (Volt Typhoon)
- Splunk — Active Directory Lateral Movement Detection
- LOLBAS Project — Living Off The Land Binaries, Scripts and Libraries
