Die meisten Sicherheitsverletzungen beginnen auf einem gewöhnlichen Gerät: einem Laptop, auf dem eine Phishing-E-Mail geöffnet wurde, einem Konto mit einem wiederverwendeten Passwort oder einem unbekannten Gerät, das sich mit dem Büro-WLAN verbunden hat. Was aus diesem ersten Eindringen einen schwerwiegenden Vorfall macht, ist das, worauf der Angreifer als Nächstes zugreifen kann. Dieser nächste Schritt wird als laterale Bewegung bezeichnet.
Für viele Unternehmen kann ein Angreifer auf vieles zugreifen. Zero Networks' Bericht zur Gefährdung durch laterale Bewegungen 2026, der auf Aktivitäten in 312 Unternehmensumgebungen basiert, ergab, dass 80 % der Unternehmensserver von überall innerhalb des Netzwerks erreichbar sind. Die Fernzugriffsprotokolle, die IT-Teams täglich verwenden, etwa RDP und SSH, funktionieren genauso gut für einen Angreifer mit gestohlenen Zugangsdaten.
Dieser Leitfaden erklärt, was ein Lateral-Movement-Angriff ist, wie sich Angreifer von einem System zum nächsten bewegen, auf welche Techniken sie sich am meisten verlassen und wie echte Angriffe abgelaufen sind. Er behandelt außerdem, wie sich Lateral Movement erkennen lässt und welche Kontrollen begrenzen, wie weit ein Angreifer kommt, sobald er einmal eingedrungen ist.
Was ist ein Angriff durch laterale Bewegung?
Ein Lateral-Movement-Angriff ist die Gesamtheit der Techniken, die ein Angreifer nach dem ersten Zugriff nutzt, um sich vom zuerst kompromittierten Gerät zu anderen Systemen, Konten und Teilen des Netzwerks zu bewegen. Angreifer verlassen sich dabei in der Regel auf gestohlene Zugangsdaten und legitime Administrationstools, während sie auf hochwertige Ziele wie Domänencontroller, Dateiserver und sensible Daten hinarbeiten.
MITRE ATT&CK, die weit verbreitete Wissensdatenbank zum Verhalten von Angreifern, führt laterale Bewegungen als Taktik TA0008 auf und ordnet ihr neun Techniken zu. Die meisten davon missbrauchen Protokolle, die im Netzwerk bereits verwendet werden, darunter RDP, SMB, SSH und WinRM. Da IT-Teams dieselben Protokolle täglich verwenden, sieht laterale Bewegung oft wie routinemäßige Verwaltungsaktivität aus.
Laterale Bewegung wird oft mit Rechteausweitung verwechselt, und Angreifer kombinieren beides in der Regel. Laterale Bewegung bedeutet, neue Systeme zu erreichen. Rechteausweitung bedeutet, höhere Berechtigungen auf einem System zu erlangen, das der Angreifer bereits kontrolliert. Ein typischer Angriff wechselt zwischen beiden: Der Angreifer weitet auf einem Host seine Rechte aus, um stärkere Anmeldedaten zu sammeln, und nutzt diese Anmeldedaten dann, um das nächste System zu erreichen.
Warum Angreifer auf laterale Bewegung setzen
Das erste Gerät, das ein Angreifer kompromittiert, ist selten das, auf das er es eigentlich abgesehen hat. Laterale Bewegung verschafft ihm einen Weg von diesem Ausgangspunkt zu allem anderen:
Zugriff auf hochwertige Systeme. Ein per Phishing kompromittierter Laptop im Marketing ist relevant wegen dessen, womit er sich verbinden kann, etwa mit Domänencontrollern, Dateiservern, Finanzanwendungen und Backup-Systemen.
Stärkere Anmeldedaten sammeln. Jeder neue Host kann zwischengespeicherte Passwörter, Hashes oder Tickets für andere Benutzer enthalten, einschließlich Administratoren und Servicekonten.
Persistenz aufbauen. Zugriffe auf mehreren Rechnern ermöglichen es einem Angreifer, in der Umgebung zu bleiben, selbst nachdem die IT das erste infizierte Gerät bereinigt hat.
Die Grundlage für größere Schäden schaffen. Ransomware-Akteure breiten sich auf so viele Systeme wie möglich aus, bevor sie irgendetwas verschlüsseln, während Kampagnen zum Datendiebstahl über Wochen oder Monate hinweg unbemerkt Informationen sammeln.
Unauffällig bleiben. Aktivitäten, die sich über normale Admin-Protokolle und gültige Konten verteilen, lösen weniger Warnmeldungen aus als Malware, die sich selbst bemerkbar macht.
Wie weit sich ein Angreifer nach der ersten Kompromittierung bewegen kann, entscheidet weitgehend darüber, wie schwerwiegend der Vorfall wird.
So funktioniert ein Angriff mit lateraler Bewegung
Laterale Bewegung folgt einem erkennbaren Ablauf. Jedes Mal, wenn der Angreifer ein neues System erreicht, wiederholt er die mittleren Phasen, bis er dort ankommt, wo er hinwill.
Phase 1: Erstzugriff
Der Angriff beginnt mit einem ersten Eindringen. Zu den häufigsten Einstiegspunkten gehören eine Phishing-E-Mail, ein gestohlenes oder wiederverwendetes Passwort, ein offener Fernzugriffsdienst oder ein nicht autorisiertes Gerät, das mit dem Netzwerk verbunden ist.
Zu diesem Zeitpunkt kontrolliert der Angreifer in der Regel ein System von geringem Wert mit eingeschränkten Berechtigungen.
Phase 2: Interne Aufklärung
Als Nächstes kartiert der Angreifer die Umgebung von innen heraus. Sie suchen nach anderen Hosts, Dateifreigaben, Benutzer- und Administratorkonten sowie offenen Ports, die sie vom kompromittierten Gerät aus erreichen können.
Angreifer tun dies oft mit Tools, die bereits in das Betriebssystem integriert sind, wodurch Sicherheitslösungen weniger neue Dateien oder Prozesse markieren können.
Phase 3: Zugriff auf Anmeldedaten
Um weiter vorzudringen, benötigt der Angreifer Anmeldedaten. Sie sammeln diese aus dem Speicher des kompromittierten Systems, greifen gespeicherte oder zwischengespeicherte Passwörter ab oder erfassen Anmeldedaten, die Benutzer eingeben.
Gemeinsam genutzte und wiederverwendete Passwörter machen diese Phase deutlich einfacher, weil ein einziges gestohlenes Geheimnis viele Systeme entsperren kann.
Phase 4: Zum nächsten System wechseln
Mit den Anmeldedaten in der Hand authentifiziert sich der Angreifer bei einem anderen Host, oft über ein Standard-Admin-Protokoll. Wo Anmeldedaten nicht ausreichen, nutzen sie stattdessen möglicherweise einen ungepatchten Dienst auf dem Zielsystem aus.
Aus Sicht des Netzwerks kann dieser Schritt wie eine gewöhnliche Anmeldung aussehen.
Stufe 5: Das Ziel erreichen
Sobald der Angreifer ein wertvolles System erreicht, setzt er sein Ziel in die Tat um. Das kann bedeuten, sensible Daten zu kopieren, Ransomware gleichzeitig auf vielen Hosts zu verteilen oder unbemerkt den Zugriff für später aufrechtzuerhalten.
Angreifer löschen unterwegs häufig Protokolle oder entfernen Tools, um die Untersuchung zu erschweren.
Die Phasen 2 bis 4 wiederholen sich bei jedem neuen Host, weshalb ein einziges kompromittiertes Konto in Zugriffe auf eine gesamte Umgebung münden kann.
Gängige Techniken der lateralen Bewegung
MITRE ATT&CK erfasst die spezifischen Methoden, mit denen Angreifer sich zwischen Systemen bewegen. Eine Handvoll davon taucht bei den meisten realen Angriffen auf, und jede einzelne wird durch einen anderen Satz von Kontrollen eingeschränkt.
Remote-Dienste (T1021)
Mit Remote-Diensten meldet sich der Angreifer mit gestohlenen Zugangsdaten über ein normales Admin-Protokoll wie RDP, SMB und Windows-Adminfreigaben, SSH oder WinRM bei einem anderen Host an. Tools wie PsExec und PowerShell-Remoting machen das schnell, und der Datenverkehr sieht wie alltägliche IT-Arbeit aus.
Die Chance ist groß. Zero Networks stellte fest, dass 87 % der Enterprise-Server eingehende RDP- oder SSH-Verbindungen aus breiten internen Quellen akzeptieren und 78 % über SMB oder WinRM erreichbar sind.
Pass the Hash und Pass the Ticket (T1550)
Diese Techniken ermöglichen es Angreifern, sich mit gestohlenem Authentifizierungsmaterial zu authentifizieren statt mit einem Passwort. Pass the hash verwendet einen NTLM-Passworthash erneut, und pass the ticket verwendet ein Kerberos-Ticket erneut. Tools wie Mimikatz ziehen dieses Material direkt aus dem Speicher eines kompromittierten Geräts.
Veraltete Authentifizierung macht diese Angriffe weiterhin möglich. Zero Networks berichtet, dass 43,2 % der internen Authentifizierung weiterhin auf NTLM läuft.
Ausnutzung von Remote-Diensten (T1210)
Wenn keine gültigen Anmeldedaten verfügbar sind, kann ein Angreifer eine Schwachstelle in einem Dienst ausnutzen, der auf einem anderen internen Host ausgeführt wird. Interne Systeme werden oft langsamer gepatcht als internetseitig erreichbare Systeme, wodurch bekannte Schwachstellen länger offen bleiben.
Hijacking von Remote-Service-Sitzungen (T1563)
Beim Hijacking von Sitzungen übernimmt der Angreifer eine bestehende SSH- oder RDP-Sitzung, die ein legitimer Benutzer bereits geöffnet hat. Da die Sitzung bereits authentifiziert ist, übernimmt der Angreifer den Zugriff dieses Benutzers, ohne dessen Anmeldedaten zu benötigen.
Laterale Werkzeugübertragung (T1570)
Sobald der Angreifer einen neuen Host erreichen kann, kopiert er die benötigten Tools dorthin, etwa Malware, Skripte oder Admin-Dienstprogramme. Dies geschieht in der Regel über SMB, denselben Kanal, der auch für die Dateifreigabe verwendet wird.
Internes Spearphishing (T1534)
Ein Angreifer, der ein legitimes Postfach kontrolliert, kann Mitarbeitende innerhalb der Organisation per Phishing angreifen. Nachrichten von dem Konto eines echten Kollegen sind deutlich überzeugender als externe E-Mails, was dies zu einer effektiven Methode macht, um weitere Zugangsdaten zu sammeln.
Die folgende Tabelle fasst zusammen, wie die einzelnen Techniken funktionieren und durch welche Kontrollen sie eingeschränkt werden.
Technik (MITRE-ID) | Wie Angreifer es nutzen | Was dies einschränkt |
Remote-Dienste (T1021) | Mit gestohlenen Anmeldedaten über RDP, SMB, SSH oder WinRM bei anderen Hosts anmelden | Netzwerksegmentierung, Netzwerkzugriff nach dem Least-Privilege-Prinzip, MFA für Admin-Zugriffe, auf Admin-Hosts beschränkte Admin-Protokolle |
Pass the Hash und Pass the Ticket (T1550) | Gestohlene NTLM-Hashes oder Kerberos-Tickets ohne das Passwort wiederverwenden | Schutz von Zugangsdaten im Arbeitsspeicher, geringere NTLM-Nutzung, Einschränkung der Anmeldeorte privilegierter Konten, Endpoint Detection |
Ausnutzung von Remote-Diensten (T1210) | Einen ungepatchten Dienst auf einem anderen Host ausnutzen | Patching sowie Segmentierung, damit anfällige Dienste von Benutzergeräten aus nicht erreichbar sind |
Hijacking von Remote-Service-Sitzungen (T1563) | Eine bestehende SSH- oder RDP-Sitzung übernehmen | Sitzungs-Timeouts, SSH-Schlüsselverwaltung, Überwachung privilegierter Sitzungen |
Laterale Werkzeugübertragung (T1570) | Malware oder Tools auf den nächsten Host kopieren, in der Regel über SMB | Endpunkterkennung, Blockierung von SMB-Verbindungen zwischen Workstations |
Internes Spearphishing (T1534) | Kollegen über ein kompromittiertes internes Postfach phishing-angreifen | E-Mail-Sicherheit, Sensibilisierung der Benutzer, phishing-resistente MFA |
Ein weiterer Weg verdient Aufmerksamkeit, weil er den Phishing-Schritt vollständig umgeht. Wenn ein Netzwerk jedes Gerät akzeptiert, das ein gemeinsames Wi-Fi-Passwort kennt, oder jedes Gerät, das an einen offenen kabelgebundenen Port angeschlossen wird, beginnt ein Angreifer mit diesem Passwort oder physischem Zugriff direkt im internen Netzwerk – ganz ohne kompromittiertes Konto. Die Kontrolle darüber, welche Geräte dem Netzwerk beitreten können und wo sie landen, schließt diesen Angriffsweg.
Beispiele für Angriffe mit lateraler Bewegung
Die oben genannten Techniken tauchen in gut dokumentierten Vorfällen immer wieder auf. Diese drei Beispiele zeigen, wie laterale Bewegung aus einem einzelnen Einstiegspunkt eine deutlich umfassendere Kompromittierung machte.
NotPetya (2017)
NotPetya verbreitete sich innerhalb von Netzwerken, indem es Anmeldedaten mit einer modifizierten Version von Mimikatz aus dem Speicher stahl und dann PsExec und WMI nutzte, um sich selbst auf anderen Rechnern auszuführen, wie in dem CISA-Hinweis zur Malware und der Analyse von Mandiant beschrieben. Es nutzte außerdem den EternalBlue-SMB-Exploit gegen nicht gepatchte Hosts.
Da die auf Anmeldedaten basierende Methode auf gültigen Anmeldungen beruhte, konnte NotPetya auch Rechner infizieren, die vollständig gegen EternalBlue gepatcht waren. Geteilte und wiederverwendete Administrator-Anmeldedaten ermöglichten eine schnelle Ausbreitung über verbundene Netzwerke.
SolarWinds-Lieferkettenkompromittierung (2020)
Laut CISA-Warnhinweis AA20-352A drangen die Angreifer in der SolarWinds-Kampagne über ein mit einem Trojaner versehenes Update der SolarWinds Orion-Software ein. Dort angekommen, berichtete CISA, dass sie sich mithilfe von WMI und per Fernzugriff ausgeführten geplanten Aufgaben seitlich bewegten.
Die Angreifer erweiterten außerdem ihre Berechtigungen in Active Directory und fälschten Authentifizierungs-Token, wodurch sie von lokalen Netzwerken in Cloud-Umgebungen wie Microsoft 365 wechseln konnten.
Akira-Ransomware (2023 bis heute)
CISA-Hinweis AA24-109A beschreibt, wie Akira-Partner sich über VPNs ohne MFA zunächst Zugriff verschaffen und dann mit Tools wie Mimikatz und LaZagne Anmeldedaten abgreifen. Bevor sie sich seitlich im Netzwerk bewegen, deaktivieren sie häufig Sicherheitssoftware, um einer Erkennung zu entgehen.
In dem Hinweis wird außerdem darauf hingewiesen, dass Akira-Akteure legitime Fernzugriffstools verwenden, um dauerhaft präsent zu bleiben und sich unauffällig einzufügen – ein Muster, das bei modernen Ransomware-Gruppen häufig vorkommt.
In jedem Fall nahm der Schaden in dem Maß zu, wie weit sich die Angreifer bewegen konnten und wie viele Zugangsdaten sie erneut verwenden konnten.
So erkennen Sie laterale Bewegungen
Laterale Bewegungen sind schwer zu erkennen, weil dabei gültige Konten und normale Admin-Tools verwendet werden, aber sie hinterlassen dennoch Muster, die sich von alltäglichen Aktivitäten abheben. Häufige Anzeichen sind:
Ein Konto authentifiziert sich innerhalb kurzer Zeit bei vielen Hosts. Normale Benutzer melden sich typischerweise bei einer kleinen, vorhersehbaren Anzahl von Systemen an.
Admin-Protokollverkehr zwischen Workstations. RDP-, SMB- oder WinRM-Verbindungen zwischen zwei Mitarbeiter-Laptops haben nur selten einen legitimen Grund.
Admin-Tools, die auf unerwarteten Geräten ausgeführt werden. PsExec, PowerShell-Remoting oder Remote-WMI-Befehle, die von einem Endpunkt ohne Adminrechte gestartet werden, verdienen eine genauere Prüfung.
Anmeldungen, die das normale Muster des Benutzers durchbrechen. Achten Sie auf ungewöhnliche Uhrzeiten, unbekannte Geräte oder Zugriffe auf Systeme außerhalb der Rolle des Benutzers.
Spitzen bei fehlgeschlagenen Authentifizierungen. Wiederholte Fehlschläge auf Servern, im Wi‑Fi oder im VPN können auf Passwort-Raten oder das Testen von Zugangsdaten hindeuten.
Neue oder unbekannte Geräte im Netzwerk. Ein Gerät, das niemand in einem sensiblen Segment erkennt, sollte sofort untersucht werden.
Diese Signale stammen aus mehreren Quellen, daher hängt die Transparenz davon ab, sie zusammenzuführen. Endpoint Detection and Response (EDR)-Tools zeigen Prozess- und Anmeldedatenaktivitäten auf jedem Host. Windows-Authentifizierungsprotokolle zeigen, wer sich wo angemeldet hat. Die Netzwerküberwachung zeigt, welche Systeme miteinander kommunizieren. Netzwerk-Authentifizierungsprotokolle wie RADIUS-Einträge zeigen, welche Benutzer und Geräte einem Wi-Fi-, VPN- oder kabelgebundenen Netzwerk beigetreten sind und wann.
Wie Sie laterale Bewegung verhindern
Keine einzelne Kontrolle stoppt jede Technik zur lateralen Bewegung. Der effektivste Ansatz kombiniert zwei Ziele: Begrenzen Sie, was ein Angreifer von einem einzelnen Gerät aus erreichen kann, und begrenzen Sie die Anmeldedaten, die er stehlen und wiederverwenden kann.
1. Segmentieren Sie das Netzwerk nach Rolle und Vertrauensstufe
Durch Segmentierung wird das Netzwerk in Zonen aufgeteilt, sodass Benutzer, Gäste, IoT-Geräte und Server auf separaten Segmenten mit kontrollierten Verbindungen dazwischen liegen. Ein kompromittiertes Gerät in einem Gast- oder BYOD-Segment sollte keinen Pfad zu Finanzsystemen oder Domänencontrollern haben.
Segmentierung funktioniert am besten, wenn die Platzierung an die Identität gebunden ist, statt manuell gepflegt zu werden. Unser Leitfaden zur Netzwerksegmentierung erklärt, wie Sie sie planen und durchsetzen.
2. Authentifizieren Sie jedes Gerät, bevor es dem Netzwerk beitritt
Verwenden Sie 802.1X in WLAN- und kabelgebundenen Netzwerken, damit jeder Benutzer und jedes Gerät seine Identität nachweist, bevor Zugriff gewährt wird. Benutzer- oder gerätespezifische Anmeldedaten ersetzen ein gemeinsam genutztes Passwort, das jede Person mit physischem Zugang oder einem offengelegten Passwort verwenden könnte.
Dadurch wird der Weg versperrt, bei dem ein Angreifer einfach ein Gerät mit dem Netzwerk verbindet und sich von dort aus weiterbewegt.
3. Ersetzen Sie nach Möglichkeit wiederverwendbare Passwörter durch Zertifikate
Zertifikatsbasierte Netzwerkauthentifizierung wie EAP-TLS bindet den Zugriff an ein Zertifikat, das auf einem verwalteten Gerät installiert ist. Es gibt kein Netzwerkpasswort, das ein Angreifer per Phishing abgreifen, erraten oder auf einem anderen System sammeln und wiederverwenden kann.
4. Erzwingen Sie das Least-Privilege-Prinzip für Konten
Geben Sie Administratoren separate Konten für administrative Aufgaben und beschränken Sie, wo sich privilegierte Konten anmelden können. Fügen Sie dem Administratorzugriff MFA hinzu, damit ein gestohlenes Passwort allein keinen Zugriff auf hochwertige Systeme ermöglicht.
Weniger zwischengespeicherte privilegierte Anmeldedaten auf alltäglichen Workstations bedeuten weniger, das ein Angreifer in der Phase des Zugriffs auf Anmeldedaten sammeln kann.
5. Admin-Protokolle einschränken
Erlauben Sie RDP, SMB, WinRM und SSH nur von den Hosts, die sie benötigen, etwa von dafür vorgesehenen Admin-Arbeitsstationen. Blockieren Sie bei diesen Protokollen den Datenverkehr zwischen Arbeitsstationen, wodurch viele der für Remotedienste und den lateralen Transfer von Tools genutzten Pfade entfernt werden.
6. Interne Services konsequent patchen
Interne Systeme verdienen beim Patchen die gleiche Aufmerksamkeit wie internetseitig erreichbare Systeme. In Kombination mit Segmentierung sorgt zeitnahes Patchen dafür, dass anfällige Dienste außer Reichweite bleiben, und begrenzt die Ausnutzung von Remote-Diensten.
7. Überwachen Sie die Authentifizierung und reagieren Sie schnell
Zentralisieren Sie Protokolle von Endpunkten, Servern und der Netzwerkauthentifizierung, damit verdächtige Muster an einem Ort sichtbar werden. Kombinieren Sie diese Transparenz mit EDR und einem getesteten Reaktionsplan, damit ein kompromittiertes Konto oder Gerät isoliert werden kann, bevor sich der Angreifer weiterbewegt.
Wie Foxpass laterale Bewegungen am Netzwerkrand begrenzt
Foxpass von Splashtop bietet cloudbasierte RADIUS-, PKI- und LDAP-Dienste, die steuern, wer und was sich mit Ihrem Netzwerk verbinden kann. Damit können IT-Teams jede Wi-Fi-, VPN- und kabelgebundene Verbindung mit Identitätsprüfungen absichern, was begrenzt, wie weit ein Angreifer von einem kompromittierten Gerät aus kommen kann.
1. Identitätsbasierter Netzwerkzugriff und Segmentierung
Foxpass Cloud RADIUS authentifiziert jeden Benutzer oder jedes Gerät, bevor es dem Netzwerk beitritt, und weist es dann basierend auf der Verzeichnisgruppenmitgliedschaft in Google Workspace, Okta, Microsoft Entra ID, OneLogin oder LDAP einem VLAN zu. Ein Gast- oder BYOD-Gerät landet in einem eingeschränkten Segment, während Geräte aus dem Finanz- und Engineering-Bereich jeweils in ihrem eigenen landen.
Wenn eines dieser Geräte kompromittiert wird, beginnt der Angreifer in einem Segment mit nur begrenzten Verbindungen zum Rest des Netzwerks. Erfahren Sie mehr über dynamische, identitätsbasierte Segmentierung mit Foxpass.
2. Passwortlose zertifikatbasierte Authentifizierung
Foxpass Cloud PKI stellt Geräten über MDM-Integrationen und SCEP Zertifikate aus, sodass verwaltete Geräte sich mit EAP-TLS verbinden können. Mit zertifikatsbasierter Authentifizierung gibt es kein gemeinsam genutztes Wi-Fi-Passwort, das gestohlen und wiederverwendet werden kann.
Für Teams, die noch nicht bereit sind, jedes Gerät auf Zertifikate umzustellen, unterstützt Foxpass auch EAP-TTLS mit individuellen Benutzeranmeldedaten, wodurch ein einzelnes gemeinsam genutztes Passwort weiterhin durch benutzerspezifischen Zugriff ersetzt wird.
3. Zugriff, der Ihrem Verzeichnis folgt
Da der Netzwerkzugriff an die Mitgliedschaft in Verzeichnisgruppen gebunden ist, wirken sich Änderungen in Ihrem Identity Provider auch auf das Netzwerk aus. Wenn jemand die Organisation verlässt oder die Rolle wechselt, ändern sich der Netzwerkzugriff und die Segmentzuordnung mit, wodurch veraltete Zugangsdaten ausgeschlossen werden, auf die es Angreifer oft abgesehen haben.
Foxpass protokolliert auch Zugriffsversuche nach VLAN und Richtlinie. Diese Aufzeichnungen zeigen, welche Benutzer und Geräte wann und mit welchem Segment verbunden waren, was die zuvor beschriebene Erkennungsarbeit unterstützt.
Foxpass kontrolliert, wer Zugriff auf das Netzwerk erhält und wo diese Personen landen. Es überprüft keinen Datenverkehr zwischen Geräten, die sich bereits im selben Segment befinden. Daher funktioniert es am besten zusammen mit EDR, Kontrollen für Konten mit minimalen Rechten und den anderen oben genannten Verfahren.
Verkleinern Sie Ihren Blast Radius, bevor ein Angreifer ihn findet
Laterale Bewegung verwandelt ein einzelnes kompromittiertes Gerät in einen unternehmensweiten Vorfall, und die Reichweite des Angreifers entscheidet, wie weit sich dieser Vorfall ausdehnt. Wenn Sie begrenzen, welche Geräte dem Netzwerk beitreten können, wo jedes einzelne landet und welche Anmeldedaten wiederverwendet werden können, haben Angreifer deutlich weniger Möglichkeiten, sich weiterzubewegen.
Foxpass hilft IT-Teams, Identitäts- und Zertifikatsprüfungen bei jeder Netzwerkverbindung durchzusetzen, ohne RADIUS- oder PKI-Server intern betreiben zu müssen. Starten Sie eine kostenlose Testversion, um zu sehen, wie Foxpass in Ihr Netzwerk passt.
