La plupart des failles commencent sur un appareil ordinaire : un ordinateur portable qui a ouvert un e-mail de phishing, un compte avec un mot de passe réutilisé, ou un appareil inconnu qui a rejoint le Wi-Fi du bureau. Ce qui transforme ce premier point d’ancrage en incident grave, c’est ce à quoi l’attaquant peut accéder ensuite. Cette étape suivante s’appelle le mouvement latéral.
Pour de nombreuses organisations, un attaquant peut aller très loin. Le rapport 2026 de Zero Networks sur l’exposition aux mouvements latéraux, fondé sur l’activité observée dans 312 environnements d’entreprise, a révélé que 80 % des serveurs d’entreprise sont accessibles depuis n’importe où à l’intérieur du réseau. Les protocoles d'accès à distance que les équipes IT utilisent chaque jour, comme RDP et SSH, fonctionnent tout aussi bien pour un attaquant disposant d’identifiants volés.
Ce guide explique ce qu’est une attaque de mouvement latéral, comment les attaquants passent d’un système à l’autre, les techniques sur lesquelles ils s’appuient le plus, et comment de vraies attaques se sont déroulées. Il explique également comment détecter les mouvements latéraux et les contrôles qui limitent jusqu’où un attaquant peut aller une fois à l’intérieur.
Qu’est-ce qu’une attaque par mouvement latéral ?
Une attaque par mouvement latéral est l’ensemble des techniques qu’un attaquant utilise après avoir obtenu un accès initial pour passer du premier appareil compromis à d’autres systèmes, comptes et parties du réseau. Les attaquants s’appuient généralement sur des identifiants volés et des outils d’administration légitimes pour progresser vers des cibles à forte valeur comme les contrôleurs de domaine, les serveurs de fichiers et les données sensibles.
MITRE ATT&CK, la base de connaissances largement utilisée sur le comportement des attaquants, répertorie le mouvement latéral comme la tactique TA0008 et regroupe neuf techniques sous celle-ci. La plupart d’entre eux exploitent des protocoles déjà utilisés sur le réseau, notamment RDP, SMB, SSH et WinRM. Comme les équipes IT utilisent ces mêmes protocoles au quotidien, le mouvement latéral ressemble souvent à une activité administrative de routine.
Le mouvement latéral est souvent confondu avec l’élévation de privilèges, et les attaquants combinent généralement les deux. Le mouvement latéral consiste à atteindre de nouveaux systèmes. L’élévation de privilèges consiste à obtenir des autorisations plus élevées sur un système que l’attaquant contrôle déjà. Une attaque typique alterne entre les deux : l’attaquant élève ses privilèges sur un hôte pour récupérer des identifiants plus puissants, puis utilise ces identifiants pour atteindre le suivant.
Pourquoi les attaquants s'appuient sur les mouvements latéraux
Le premier appareil compromis par un attaquant est rarement celui qu’il vise. Les mouvements latéraux leur ouvrent un chemin depuis ce point de départ vers tout le reste :
Atteindre des systèmes à forte valeur. Un ordinateur portable de l’équipe marketing compromis par hameçonnage est important en raison de ce à quoi il peut se connecter, comme les contrôleurs de domaine, les serveurs de fichiers, les applications financières et les systèmes de sauvegarde.
Collecte d’identifiants plus robustes. Chaque nouvel hôte peut contenir des mots de passe en cache, des hachages ou des tickets pour d’autres utilisateurs, y compris des administrateurs et des comptes de service.
Établir une persistance. Des points d’appui sur plusieurs machines permettent à un attaquant de rester dans l’environnement même après que l’IT a nettoyé le premier appareil infecté.
Préparer un gain plus important. Les opérateurs de ransomware se propagent à autant de systèmes que possible avant de chiffrer quoi que ce soit, tandis que les campagnes de vol de données collectent discrètement des informations pendant des semaines ou des mois.
Se fondre dans le décor. Une activité répartie sur des protocoles d’administration normaux et des comptes valides génère moins d’alertes qu’un malware qui s’annonce lui-même.
L’ampleur des déplacements qu’un attaquant peut effectuer après la première compromission détermine en grande partie la gravité de l’incident.
Comment fonctionne une attaque par mouvement latéral
Le mouvement latéral suit un cycle reconnaissable. Chaque fois que l’attaquant atteint un nouveau système, il répète les étapes intermédiaires jusqu’à arriver là où il veut aller.
Étape 1 : accès initial
L’attaque commence par un point d’ancrage. Parmi les points d’entrée courants figurent un e-mail de phishing, un mot de passe volé ou réutilisé, un service d’accès à distance exposé ou un appareil non autorisé connecté au réseau.
À ce stade, l'attaquant contrôle généralement un système de faible valeur avec des autorisations limitées.
Étape 2 : reconnaissance interne
Ensuite, l’attaquant cartographie l’environnement depuis l’intérieur. Ils recherchent d’autres hôtes, des partages de fichiers, des comptes utilisateurs et administrateurs, ainsi que des ports ouverts qu’ils peuvent atteindre depuis l’appareil compromis.
Les attaquants font souvent cela avec des outils déjà intégrés au système d’exploitation, ce qui laisse moins de nouveaux fichiers ou processus à signaler pour les outils de sécurité.
Étape 3 : accès aux identifiants
Pour aller plus loin, l’attaquant a besoin d’identifiants. Ils les récupèrent dans la mémoire du système compromis, collectent les mots de passe enregistrés ou mis en cache, ou capturent les identifiants saisis par les utilisateurs.
Les mots de passe partagés et réutilisés facilitent grandement cette étape, car un seul secret volé peut ouvrir l’accès à de nombreux systèmes.
Étape 4 : passer au système suivant
Une fois les identifiants en main, l’attaquant s’authentifie sur un autre hôte, souvent via un protocole d’administration standard. Lorsque les identifiants ne suffisent pas, ils peuvent à la place exploiter un service non corrigé sur la cible.
Du point de vue du réseau, cette étape peut ressembler à une connexion ordinaire.
Étape 5 : atteindre l’objectif
Une fois que l’attaquant atteint un système de valeur, il passe à l’action pour atteindre son objectif. Cela peut vouloir dire copier des données sensibles, déployer un rançongiciel sur de nombreux hôtes à la fois ou conserver discrètement l’accès pour plus tard.
Les attaquants effacent fréquemment les journaux ou suppriment des outils en cours de route pour compliquer l’enquête.
Les étapes 2 à 4 se répètent sur chaque nouvel hôte, c’est pourquoi un seul compte compromis peut se transformer en accès à l’ensemble d’un environnement.
Techniques courantes de mouvement latéral
MITRE ATT&CK suit les méthodes spécifiques que les attaquants utilisent pour se déplacer entre les systèmes. Une poignée d’entre elles apparaissent dans la plupart des intrusions réelles, et chacune est limitée par un ensemble de contrôles différent.
Services à distance (T1021)
Avec les services à distance, l’attaquant se connecte à un autre hôte à l’aide d’identifiants volés via un protocole d’administration standard comme RDP, SMB et les partages d’administration Windows, SSH ou WinRM. Des outils comme PsExec et la communication à distance PowerShell rendent cela rapide, et le trafic ressemble à des tâches IT quotidiennes.
L’opportunité est importante. Zero Networks a constaté que 87 % des serveurs d’entreprise acceptent des connexions RDP ou SSH entrantes provenant de sources internes étendues, et que 78 % sont accessibles via SMB ou WinRM.
Pass-the-Hash et Pass-the-Ticket (T1550)
Ces techniques permettent aux attaquants de s'authentifier avec des éléments d'authentification volés au lieu d'un mot de passe. Pass the hash réutilise un hachage de mot de passe NTLM, et pass the ticket réutilise un ticket Kerberos. Des outils tels que Mimikatz extraient ces éléments directement de la mémoire d'une machine compromise.
L’authentification héritée permet encore à ces attaques de rester efficaces. Zero Networks indique que 43,2 % de l’authentification interne fonctionne encore sur NTLM.
Exploitation des services à distance (T1210)
Lorsque des identifiants valides ne sont pas disponibles, un attaquant peut exploiter une vulnérabilité dans un service exécuté sur un autre hôte interne. Les systèmes internes sont souvent corrigés plus lentement que ceux exposés à Internet, ce qui laisse plus longtemps ouvertes des vulnérabilités connues.
Détournement de session de service à distance (T1563)
Dans le détournement de session, l'attaquant prend le contrôle d'une session SSH ou RDP existante qu'un utilisateur légitime a déjà ouverte. Comme la session est déjà authentifiée, l'attaquant hérite de l'accès de cet utilisateur sans avoir besoin de ses identifiants.
Transfert latéral d’outils (T1570)
Une fois que l’attaquant peut atteindre un nouvel hôte, il copie les outils dont il a besoin, comme des malwares, des scripts ou des utilitaires d’administration. Cela se produit généralement via SMB, le même canal utilisé pour le partage de fichiers.
Spear phishing interne (T1534)
Un attaquant qui contrôle une boîte mail légitime peut hameçonner des collègues depuis l’intérieur de l’organisation. Les messages provenant du compte d’un véritable collègue sont bien plus convaincants qu’un e-mail externe, ce qui en fait un moyen efficace de collecter davantage d’identifiants.
Le tableau ci-dessous résume le fonctionnement de chaque technique et les contrôles qui la limitent.
Technique (ID MITRE) | Comment les attaquants l’utilisent | Ce qui la limite |
Services à distance (T1021) | Connectez-vous à d’autres hôtes avec des identifiants volés via RDP, SMB, SSH ou WinRM | Segmentation du réseau, accès réseau à privilège minimum, MFA sur l’accès administrateur, protocoles d’administration limités aux hôtes d’administration |
Pass-the-Hash et Pass-the-Ticket (T1550) | Réutiliser des hachages NTLM volés ou des tickets Kerberos sans le mot de passe | Protection des identifiants en mémoire, réduction de l’utilisation de NTLM, limitation des emplacements où les comptes à privilèges se connectent, détection sur les terminaux |
Exploitation des services à distance (T1210) | Exploiter un service non corrigé sur un autre hôte | Application des correctifs, plus segmentation afin que les services vulnérables ne soient pas accessibles depuis les appareils des utilisateurs |
Détournement de session de service à distance (T1563) | Prendre le contrôle d’une session SSH ou RDP existante | Expiration des sessions, gestion des clés SSH, surveillance des sessions privilégiées |
Transfert latéral d’outils (T1570) | Copier le malware ou les outils vers l’hôte suivant, généralement via SMB | Détection des terminaux, blocage du SMB de poste à poste |
Spear phishing interne (T1534) | Hameçonner des collègues depuis une boîte mail interne compromise | Sécurité des e-mails, sensibilisation des utilisateurs, MFA résistant au phishing |
Une autre voie mérite l’attention, car elle saute entièrement l’étape du phishing. Si un réseau accepte n’importe quel appareil connaissant un mot de passe Wi‑Fi partagé, ou n’importe quel appareil branché à un port filaire ouvert, un attaquant disposant de ce mot de passe ou d’un accès physique démarre sur le réseau interne sans qu’aucun compte n’ait été compromis. Contrôler quels appareils peuvent rejoindre le réseau, et où ils sont placés, permet de fermer cette voie.
Exemples d’attaques par mouvement latéral
Les techniques ci-dessus reviennent encore et encore dans des incidents bien documentés. Ces trois exemples montrent comment un mouvement latéral a transformé un point d’entrée unique en une compromission bien plus large.
NotPetya (2017)
NotPetya s'est propagé à l'intérieur des réseaux en volant des identifiants depuis la mémoire à l'aide d'une version modifiée de Mimikatz, puis en utilisant PsExec et WMI pour s'exécuter sur d'autres machines, comme décrit dans l'alerte de la CISA sur le malware et l'analyse de Mandiant. Il a également utilisé l'exploit SMB EternalBlue contre des hôtes non corrigés.
Comme la méthode basée sur les identifiants reposait sur des connexions valides, NotPetya pouvait aussi infecter des machines entièrement corrigées contre EternalBlue. Des identifiants d’administration partagés et réutilisés lui ont permis de se propager rapidement à travers des réseaux connectés.
Compromission de la chaîne d’approvisionnement SolarWinds (2020)
Dans la campagne SolarWinds, les attaquants sont entrés via une mise à jour piégée du logiciel SolarWinds Orion, selon l’avis CISA AA20-352A. Une fois à l’intérieur, la CISA a signalé qu’ils se sont déplacés latéralement à l’aide de WMI et de tâches planifiées à distance.
Les attaquants ont également élevé leurs privilèges dans Active Directory et falsifié des jetons d’authentification, ce qui leur a permis de passer de réseaux sur site à des environnements cloud comme Microsoft 365.
Rançongiciel Akira (2023 à aujourd’hui)
L’avis CISA AA24-109A décrit des affiliés Akira obtenant un accès initial via des VPNs sans MFA, puis collectant des identifiants avec des outils tels que Mimikatz et LaZagne. Avant de se déplacer latéralement, ils désactivent généralement les logiciels de sécurité pour éviter d’être détectés.
L’avis souligne également que les acteurs d’Akira utilisent des outils légitimes d’accès à distance pour maintenir leur présence et se fondre dans le décor, un schéma courant chez les groupes modernes de ransomware.
Dans chaque cas, l’ampleur des dégâts dépendait de la distance que les attaquants pouvaient parcourir et du nombre d’identifiants qu’ils pouvaient réutiliser.
Comment détecter le mouvement latéral
Le mouvement latéral est difficile à repérer, car il utilise des comptes valides et des outils d’administration habituels, mais il laisse tout de même des schémas qui se démarquent de l’activité quotidienne. Les signes courants incluent :
Un compte s’authentifiant auprès de nombreux hôtes sur une courte période. Les utilisateurs réguliers se connectent généralement à un ensemble restreint et prévisible de systèmes.
Trafic du protocole d'administration entre les postes de travail. Les connexions RDP, SMB ou WinRM entre deux ordinateurs portables d’employés ont rarement une raison légitime d’exister.
Des outils d’administration exécutés depuis des machines inattendues. PsExec, la communication à distance PowerShell ou des commandes WMI à distance lancés depuis un terminal non administrateur méritent un examen plus approfondi.
Des connexions qui sortent du schéma habituel de l’utilisateur. Soyez attentif aux horaires inhabituels, aux appareils inconnus ou à l’accès à des systèmes en dehors du rôle de l’utilisateur.
Pics d’échecs d’authentification. Des échecs répétés sur les serveurs, le Wi‑Fi ou le VPN peuvent signaler des tentatives de deviner des mots de passe ou de tester des identifiants.
Appareils nouveaux ou inconnus sur le réseau. Un appareil que personne ne reconnaît sur un segment sensible mérite d’être examiné immédiatement.
Ces signaux proviennent de plusieurs sources, donc la visibilité dépend de leur mise en commun. Les outils de détection et de réponse sur les terminaux (EDR) montrent l’activité des processus et des identifiants sur chaque hôte. Les journaux d’authentification Windows montrent qui s’est connecté à quel emplacement. La surveillance réseau montre quels systèmes communiquent entre eux. Les journaux d’authentification réseau, tels que les enregistrements RADIUS, montrent quels utilisateurs et appareils se sont connectés aux réseaux Wi‑Fi, VPN ou filaires, et à quel moment.
Comment empêcher les mouvements latéraux
Aucun contrôle unique ne bloque toutes les techniques de mouvement latéral. L’approche la plus efficace combine deux objectifs : limiter ce qu’un attaquant peut atteindre depuis un seul appareil, et limiter les identifiants qu’il peut voler et réutiliser.
1. Segmentez le réseau par rôle et niveau de confiance
La segmentation divise le réseau en zones afin que les utilisateurs, les invités, les appareils IoT et les serveurs se trouvent sur des segments distincts avec des routes contrôlées entre eux. Un appareil compromis sur un segment invité ou BYOD ne doit avoir aucun chemin d’accès vers les systèmes financiers ou les contrôleurs de domaine.
La segmentation fonctionne mieux lorsque le placement est lié à l’identité plutôt que géré manuellement. Notre guide sur la segmentation réseau explique comment la planifier et l’appliquer.
2. Authentifiez chaque appareil avant qu’il rejoigne le réseau
Utilisez 802.1X sur les réseaux Wi-Fi et filaires afin que chaque utilisateur ou appareil prouve son identité avant d’obtenir l’accès. Des identifiants par utilisateur ou par appareil remplacent un mot de passe partagé que toute personne se trouvant à proximité physique ou disposant d’un mot de passe divulgué pourrait utiliser.
Cela ferme la voie par laquelle un attaquant connecte simplement un appareil au réseau et commence ensuite à se déplacer à partir de là.
3. Remplacez les mots de passe réutilisés par des certificats lorsque c’est possible
L’authentification réseau basée sur des certificats, comme EAP-TLS, lie l’accès à un certificat installé sur un appareil géré. Il n’existe aucun mot de passe réseau qu’un attaquant puisse hameçonner, deviner ou collecter pour le rejouer sur un autre système.
4. Appliquer le principe du moindre privilège aux comptes
Attribuez aux administrateurs des comptes distincts pour les tâches administratives et limitez les endroits où les comptes privilégiés peuvent se connecter. Ajoutez la MFA aux accès administrateur afin qu’un mot de passe volé seul ne puisse pas ouvrir l’accès à des systèmes de grande valeur.
Moins d’identifiants à privilèges mis en cache sur les postes de travail du quotidien, c’est moins d’éléments qu’un attaquant peut collecter lors de la phase d’accès aux identifiants.
5. Restreindre les protocoles d’administration
N’autorisez RDP, SMB, WinRM et SSH que depuis les hôtes qui en ont besoin, comme les postes de travail d’administration désignés. Bloquez le trafic poste à poste sur ces protocoles, ce qui élimine bon nombre des chemins utilisés pour les services à distance et le transfert latéral d’outils.
6. Appliquez des correctifs aux services internes de manière cohérente
Les systèmes internes méritent la même attention en matière de correctifs que ceux exposés à internet. Combinée à la segmentation, l’application rapide des correctifs maintient les services vulnérables hors de portée et limite l’exploitation des services à distance.
7. Surveillez l’authentification et réagissez rapidement
Centralisez les journaux des terminaux, des serveurs et de l’authentification réseau afin que les schémas suspects soient visibles en un seul endroit. Associez cette visibilité à l’EDR et à un plan de réponse éprouvé, afin qu’un compte ou un appareil compromis puisse être isolé avant que l’attaquant n’aille plus loin.
Comment Foxpass limite les mouvements latéraux à la périphérie du réseau
Foxpass, de Splashtop, fournit des services RADIUS, PKI et LDAP hébergés dans le cloud qui contrôlent qui et quoi peut se connecter à votre réseau. Cela aide les équipes IT à mettre en place des vérifications d’identité sur chaque connexion Wi-Fi, VPN et filaire, ce qui limite la marge de progression d’un attaquant à partir d’un appareil compromis.
1. Accès réseau basé sur l’identité et segmentation
Foxpass Cloud RADIUS authentifie chaque utilisateur ou appareil avant qu’il ne rejoigne le réseau, puis l’assigne à un VLAN en fonction de son appartenance à un groupe d’annuaire dans Google Workspace, Okta, Microsoft Entra ID, OneLogin ou LDAP. Un appareil invité ou BYOD arrive sur un segment restreint, tandis que les appareils des équipes finance et ingénierie arrivent sur le leur.
Si l’un de ces appareils est compromis, l’attaquant commence sur un segment avec des routes limitées vers le reste du réseau. En savoir plus sur la segmentation dynamique basée sur l’identité avec Foxpass.
2. Authentification sans mot de passe basée sur des certificats
Foxpass Cloud PKI émet des certificats aux appareils via des intégrations MDM et SCEP, afin que les appareils gérés puissent se connecter avec EAP-TLS. Avec l’authentification basée sur des certificats, il n’y a pas de mot de passe Wi-Fi partagé à voler et à réutiliser.
Pour les équipes qui ne sont pas prêtes à faire passer tous les appareils aux certificats, Foxpass prend également en charge EAP-TTLS avec des identifiants utilisateur individuels, ce qui remplace malgré tout un mot de passe unique partagé par un accès propre à chaque utilisateur.
3. Un accès qui suit votre annuaire
Comme l’accès réseau est lié à l’appartenance à un groupe de l’annuaire, les changements apportés à votre fournisseur d’identité se répercutent sur le réseau. Lorsqu’une personne quitte l’organisation ou change de rôle, son accès réseau et son placement dans les segments changent avec elle, ce qui neutralise les identifiants obsolètes que les attaquants ciblent souvent.
Foxpass consigne également les tentatives d’accès par VLAN et par politique. Ces enregistrements indiquent quels utilisateurs et appareils se sont connectés, quand et à quel segment, ce qui facilite le travail de détection décrit plus haut.
Foxpass contrôle qui accède au réseau et où il atterrit. Il n'inspecte pas le trafic entre des appareils déjà présents sur le même segment. Il fonctionne donc mieux avec un EDR, des contrôles de compte à privilège minimum et les autres pratiques ci-dessus.
Réduisez votre surface d’impact avant qu’un attaquant ne la découvre
Le mouvement latéral transforme un seul appareil compromis en un incident à l’échelle de toute l’organisation, et la portée de l’attaquant détermine jusqu’où cet incident s’étend. Limiter les appareils pouvant rejoindre le réseau, l’endroit où chacun atterrit et les identifiants pouvant être réutilisés laisse aux attaquants bien moins d’options pour progresser.
Foxpass aide les équipes IT à appliquer des vérifications d’identité et de certificat à chaque connexion réseau sans exploiter de serveurs RADIUS ou PKI en interne. Démarrez un essai gratuit pour voir comment Foxpass s’intègre à votre réseau.
