La maggior parte delle violazioni inizia da un dispositivo ordinario: un laptop che ha aperto un'email di phishing, un account con una password riutilizzata o un dispositivo sconosciuto che si è collegato al Wi-Fi dell'ufficio. Ciò che trasforma quel primo punto d'appoggio in un incidente serio è ciò a cui l'attaccante può accedere dopo. Questo passaggio successivo si chiama movimento laterale.
Per molte organizzazioni, un attaccante può raggiungere molto. Report 2026 di Zero Networks sull’esposizione ai movimenti laterali, basato sull’attività in 312 ambienti aziendali, ha rilevato che l’80% dei server aziendali è raggiungibile da qualsiasi punto della rete. I protocolli di accesso remoto che i team IT usano ogni giorno, come RDP e SSH, funzionano altrettanto bene per un attaccante in possesso di credenziali rubate.
Questa guida spiega che cos'è un attacco di movimento laterale, come gli aggressori si spostano da un sistema all'altro, le tecniche su cui fanno maggiore affidamento e come si sono svolti gli attacchi reali. Illustra anche come rilevare il movimento laterale e i controlli che limitano fino a che punto può arrivare un aggressore una volta entrato.
Che cos'è un attacco di movimento laterale?
Un attacco di movimento laterale è l’insieme di tecniche che un aggressore utilizza dopo aver ottenuto l’accesso iniziale per spostarsi dal primo dispositivo compromesso ad altri sistemi, account e parti della rete. Gli aggressori in genere si affidano a credenziali rubate e a strumenti amministrativi legittimi mentre puntano a obiettivi di alto valore come controller di dominio, file server e dati sensibili.
MITRE ATT&CK, la knowledge base ampiamente utilizzata sul comportamento degli attaccanti, cataloga il movimento laterale come tattica TA0008 e raggruppa al suo interno nove tecniche. La maggior parte di queste sfrutta protocolli già in esecuzione sulla rete, tra cui RDP, SMB, SSH e WinRM. Poiché i team IT utilizzano gli stessi protocolli ogni giorno, il movimento laterale spesso appare come una normale attività amministrativa.
Il movimento laterale viene spesso confuso con l'escalation dei privilegi e, di solito, gli aggressori combinano i due. Il movimento laterale consiste nel raggiungere nuovi sistemi. L'escalation dei privilegi consiste nell'ottenere permessi più elevati su un sistema che l'aggressore controlla già. Un attacco tipico alterna le due tecniche: l'aggressore aumenta i privilegi su un host per raccogliere credenziali più potenti, poi usa tali credenziali per raggiungere quello successivo.
Perché gli attaccanti si affidano al movimento laterale
Raramente il primo dispositivo compromesso da un attaccante è quello che vuole davvero. Il movimento laterale offre loro un percorso da quel punto di partenza a tutto il resto:
Raggiungere sistemi di alto valore. Un laptop del marketing compromesso tramite phishing è importante per ciò a cui può connettersi, come controller di dominio, file server, applicazioni finanziarie e sistemi di backup.
Raccolta di credenziali più robuste. Ogni nuovo host può contenere password memorizzate nella cache, hash o ticket di altri utenti, inclusi amministratori e account di servizio.
Creare persistenza. Punti d'appoggio su più macchine consentono a un attaccante di rimanere nell'ambiente anche dopo che l'IT ha ripulito il primo dispositivo infetto.
Preparare un guadagno più grande. Gli operatori di ransomware si diffondono nel maggior numero possibile di sistemi prima di criptare qualsiasi cosa, mentre le campagne di furto di dati raccolgono informazioni in silenzio nel corso di settimane o mesi.
Mimetizzarsi. L’attività distribuita tra normali protocolli di amministrazione e account validi genera meno avvisi rispetto a un malware che si fa notare.
La distanza che un aggressore può coprire dopo la prima compromissione determina in gran parte la gravità dell'incidente.
Come funziona un attacco di movimento laterale
Il movimento laterale segue un ciclo riconoscibile. Ogni volta che l'aggressore raggiunge un nuovo sistema, ripete le fasi intermedie finché non arriva dove vuole arrivare.
Fase 1: accesso iniziale
L'attacco inizia con un primo accesso. I punti di ingresso più comuni includono un'email di phishing, una password rubata o riutilizzata, un servizio di accesso remoto esposto o un dispositivo non autorizzato collegato alla rete.
A questo punto, l'attaccante di solito controlla un sistema di basso valore con autorizzazioni limitate.
Fase 2: ricognizione interna
Successivamente, l'attaccante mappa l'ambiente dall'interno. Cercano altri host, condivisioni di file, account utente e amministratore e porte aperte che possono raggiungere dal dispositivo compromesso.
Gli aggressori spesso lo fanno con strumenti già integrati nel sistema operativo, il che lascia meno nuovi file o processi da segnalare agli strumenti di sicurezza.
Fase 3: accesso alle credenziali
Per spingersi oltre, l'attaccante ha bisogno di credenziali. Le raccolgono dalla memoria del sistema compromesso, recuperano password salvate o memorizzate nella cache, oppure acquisiscono le credenziali che gli utenti digitano.
Le password condivise e riutilizzate rendono questa fase molto più semplice, perché un solo segreto rubato può sbloccare molti sistemi.
Fase 4: passaggio al sistema successivo
Con le credenziali in mano, l'attaccante si autentica su un altro host, spesso tramite un protocollo amministrativo standard. Quando le credenziali non bastano, può invece sfruttare un servizio non aggiornato sul target.
Dal punto di vista della rete, questo passaggio può sembrare un normale accesso.
Fase 5: raggiungere l'obiettivo
Una volta che l'attaccante raggiunge un sistema di valore, agisce in base al suo obiettivo. Questo può significare copiare dati sensibili, distribuire ransomware su molti host contemporaneamente o mantenere silenziosamente l'accesso per un uso successivo.
Gli attaccanti spesso cancellano i log o rimuovono gli strumenti lungo il percorso per rendere più difficile l'indagine.
Le fasi dalla 2 alla 4 si ripetono su ogni nuovo host, ed è per questo che un solo account compromesso può trasformarsi in accesso a un intero ambiente.
Tecniche comuni di movimento laterale
MITRE ATT&CK tiene traccia dei metodi specifici che gli aggressori usano per spostarsi tra i sistemi. Una manciata di questi compare nella maggior parte delle intrusioni nel mondo reale, e ognuno è limitato da un insieme diverso di controlli.
Servizi remoti (T1021)
Con i servizi remoti, l'aggressore accede a un altro host usando credenziali rubate tramite un normale protocollo di amministrazione come RDP, SMB e condivisioni di amministrazione di Windows, SSH o WinRM. Strumenti come PsExec e PowerShell remoting rendono tutto questo rapido, e il traffico sembra normale attività IT quotidiana.
L’opportunità è enorme. Zero Networks ha rilevato che l'87% dei server aziendali accetta connessioni RDP o SSH in entrata da fonti interne estese e che il 78% è raggiungibile tramite SMB o WinRM.
Pass-the-hash e pass-the-ticket (T1550)
Queste tecniche consentono agli attaccanti di autenticarsi con materiale di autenticazione rubato invece che con una password. Pass the hash riutilizza un hash di password NTLM e pass the ticket riutilizza un ticket Kerberos. Strumenti come Mimikatz estraggono questo materiale direttamente dalla memoria di una macchina compromessa.
L'autenticazione legacy mantiene questi attacchi praticabili. Zero Networks riporta che il 43,2% dell'autenticazione interna utilizza ancora NTLM.
Sfruttamento dei servizi remoti (T1210)
Quando non sono disponibili credenziali valide, un aggressore può sfruttare una vulnerabilità in un servizio in esecuzione su un altro host interno. I sistemi interni vengono spesso aggiornati con patch più lentamente rispetto a quelli esposti a internet, lasciando aperte più a lungo vulnerabilità note.
Hijacking di sessione di servizio remoto (T1563)
Nel dirottamento della sessione, l'aggressore prende il controllo di una sessione SSH o RDP esistente già aperta da un utente legittimo. Poiché la sessione è già autenticata, l'aggressore eredita l'accesso di quell'utente senza aver bisogno delle sue credenziali.
Trasferimento laterale di strumenti (T1570)
Una volta che l'attaccante riesce a raggiungere un nuovo host, copia gli strumenti di cui ha bisogno, come malware, script o utility di amministrazione. Questo di solito avviene tramite SMB, lo stesso canale usato per la condivisione dei file.
Spearphishing interno (T1534)
Un attaccante che controlla una casella di posta legittima può fare phishing ai colleghi dall'interno dell'organizzazione. I messaggi provenienti dall'account di un vero collega sono molto più convincenti delle email esterne, il che rende questo un modo efficace per raccogliere altre credenziali.
La tabella seguente riassume come funziona ciascuna tecnica e quali controlli la limitano.
Tecnica (ID MITRE) | Come lo usano gli attaccanti | Cosa lo limita |
Servizi remoti (T1021) | Accedi ad altri host con credenziali rubate tramite RDP, SMB, SSH o WinRM | Segmentazione della rete, accesso alla rete con privilegi minimi, MFA per l'accesso amministrativo, protocolli di amministrazione limitati agli host di amministrazione |
Pass-the-hash e pass-the-ticket (T1550) | Riutilizzare hash NTLM o ticket Kerberos rubati senza la password | Protezione delle credenziali in memoria, riduzione dell’uso di NTLM, limitazione dei punti in cui gli account privilegiati effettuano l’accesso, rilevamento degli endpoint |
Sfruttamento dei servizi remoti (T1210) | Sfruttare un servizio senza patch su un altro host | Applicazione delle patch, oltre alla segmentazione in modo che i servizi vulnerabili non siano raggiungibili dai dispositivi degli utenti |
Hijacking di sessione di servizio remoto (T1563) | Prendi il controllo di una sessione SSH o RDP esistente | Timeout di sessione, gestione delle chiavi SSH, monitoraggio delle sessioni privilegiate |
Trasferimento laterale di strumenti (T1570) | Copia malware o strumenti nell'host successivo, di solito tramite SMB | Rilevamento degli endpoint, blocco del traffico SMB da workstation a workstation |
Spearphishing interno (T1534) | Fai phishing ai colleghi da una casella di posta interna compromessa | Sicurezza email, consapevolezza degli utenti, MFA resistente al phishing |
C'è un altro percorso che merita attenzione perché salta completamente il passaggio del phishing. Se una rete accetta qualsiasi dispositivo che conosca una password Wi‑Fi condivisa, o qualsiasi dispositivo collegato a una porta cablata aperta, un aggressore con quella password o con accesso fisico parte dalla rete interna senza alcun account compromesso. Controllare quali dispositivi possono accedere alla rete e dove vengono collocati chiude questo percorso.
Esempi di attacchi di movimento laterale
Le tecniche descritte sopra ricorrono più e più volte in incidenti ben documentati. Questi tre esempi mostrano come il movimento laterale abbia trasformato un singolo punto di ingresso in una compromissione molto più ampia.
NotPetya (2017)
NotPetya si è diffuso all'interno delle reti rubando credenziali dalla memoria con una versione modificata di Mimikatz, quindi usando PsExec e WMI per eseguire se stesso su altre macchine, come descritto nell'avviso di CISA sul malware e nell'analisi di Mandiant. Ha anche usato l'exploit SMB EternalBlue contro host non aggiornati.
Poiché il metodo basato sulle credenziali si affidava ad accessi validi, NotPetya poteva infettare anche macchine completamente aggiornate contro EternalBlue. Credenziali amministrative condivise e riutilizzate gli hanno permesso di spostarsi rapidamente tra reti collegate.
Compromissione della supply chain di SolarWinds (2020)
Nella campagna SolarWinds, gli attaccanti sono entrati tramite un aggiornamento trojanizzato del software SolarWinds Orion, secondo l'avviso CISA AA20-352A. Una volta all'interno, CISA ha riferito che si sono spostati lateralmente utilizzando WMI e attività pianificate remote.
Gli attaccanti hanno anche aumentato i privilegi in Active Directory e falsificato token di autenticazione, il che ha permesso loro di spostarsi dalle reti on-premises agli ambienti cloud come Microsoft 365.
ransomware Akira (dal 2023 a oggi)
L'avviso CISA AA24-109A descrive affiliati di Akira che ottengono l'accesso iniziale tramite VPNs senza MFA, per poi raccogliere credenziali con strumenti come Mimikatz e LaZagne. Prima di spostarsi lateralmente, spesso disattivano il software di sicurezza per evitare il rilevamento.
L'avviso rileva inoltre che gli operatori di Akira utilizzano strumenti legittimi di accesso remoto per mantenere la persistenza e mimetizzarsi, un modello comune tra i moderni gruppi ransomware.
In ogni caso, il danno aumentava in base a quanto lontano riuscivano a spostarsi gli attaccanti e a quante credenziali riuscivano a riutilizzare.
Come rilevare il movimento laterale
Il movimento laterale è difficile da individuare perché utilizza account validi e normali strumenti di amministrazione, ma lascia comunque schemi che si distinguono rispetto all’attività quotidiana. I segnali più comuni includono:
Un account che si autentica su molti host in un breve lasso di tempo. Gli utenti normali in genere accedono a un insieme ridotto e prevedibile di sistemi.
Traffico del protocollo admin tra workstation. Le connessioni RDP, SMB o WinRM tra due laptop di dipendenti raramente hanno una ragione legittima.
Strumenti di amministrazione in esecuzione da macchine inaspettate. PsExec, PowerShell remoting o comandi WMI remoti avviati da un endpoint non amministrativo meritano un controllo più approfondito.
Accessi che non rientrano nel normale schema dell'utente. Fai attenzione a orari insoliti, dispositivi sconosciuti o accessi a sistemi che esulano dal ruolo dell'utente.
Picchi nelle autenticazioni non riuscite. Errori ripetuti tra server, Wi-Fi o VPN possono segnalare tentativi di indovinare password o di testare credenziali.
Dispositivi nuovi o sconosciuti nella rete. Vale la pena indagare subito su un dispositivo che nessuno riconosce in un segmento sensibile.
Questi segnali provengono da diverse fonti, quindi la visibilità dipende dalla loro integrazione. Gli strumenti di endpoint detection and response (EDR) mostrano l'attività di processi e credenziali su ciascun host. I log di autenticazione di Windows mostrano chi ha eseguito l'accesso e dove. Il monitoraggio della rete mostra quali sistemi comunicano tra loro. I log di autenticazione di rete, come i record RADIUS, mostrano quali utenti e dispositivi si sono connessi a reti Wi‑Fi, VPN o cablate e quando.
Come prevenire il movimento laterale
Nessun singolo controllo blocca ogni tecnica di movimento laterale. L'approccio più efficace combina due obiettivi: limitare ciò che un aggressore può raggiungere da un singolo dispositivo e limitare le credenziali che può rubare e riutilizzare.
1. Segmenta la rete in base al ruolo e al livello di attendibilità
La segmentazione divide la rete in zone, in modo che utenti, ospiti, dispositivi IoT e server si trovino su segmenti separati con percorsi controllati tra loro. Un dispositivo compromesso su un segmento guest o BYOD non dovrebbe avere alcun percorso verso i sistemi finanziari o i controller di dominio.
La segmentazione funziona al meglio quando il posizionamento è legato all'identità invece di essere gestito manualmente. La nostra guida alla segmentazione della rete spiega come pianificarla e applicarla.
2. Autentica ogni dispositivo prima che entri nella rete
Usa 802.1X su Wi-Fi e reti cablate, in modo che ogni utente o dispositivo dimostri la propria identità prima di ottenere l’accesso. Le credenziali per utente o per dispositivo sostituiscono una password condivisa che chiunque, grazie alla vicinanza fisica o a una password divulgata, potrebbe usare.
Questo chiude il percorso in cui un attaccante collega semplicemente un dispositivo alla rete e inizia a muoversi da lì.
3. Sostituisci le password riutilizzabili con certificati, ove possibile
L’autenticazione di rete basata su certificato, come EAP-TLS, collega l’accesso a un certificato installato su un dispositivo gestito. Non esiste alcuna password di rete che un aggressore possa sottrarre tramite phishing, indovinare o raccogliere e riutilizzare su un altro sistema.
4. Applica il principio del privilegio minimo agli account
Assegna agli amministratori account separati per il lavoro amministrativo e limita i luoghi da cui gli account con privilegi possono accedere. Aggiungi l'MFA all'accesso admin, così una password rubata da sola non può aprire sistemi di alto valore.
Meno credenziali privilegiate memorizzate nella cache sulle workstation di uso quotidiano significa meno dati che un utente malintenzionato può raccogliere nella fase di accesso alle credenziali.
5. Limita i protocolli di amministrazione
Consenti RDP, SMB, WinRM e SSH solo dagli host che ne hanno bisogno, come le workstation amministrative designate. Blocca il traffico da workstation a workstation su questi protocolli, eliminando così molti dei percorsi usati per i servizi remoti e il trasferimento laterale degli strumenti.
6. Applica patch ai servizi interni in modo coerente
I sistemi interni meritano la stessa attenzione nell'applicazione delle patch di quelli esposti a internet. Insieme alla segmentazione, l'applicazione tempestiva delle patch tiene i servizi vulnerabili fuori portata e limita lo sfruttamento dei servizi remoti.
7. Monitora l’autenticazione e rispondi rapidamente
Centralizza i log di endpoint, server e autenticazione di rete in modo che gli schemi sospetti siano visibili in un unico posto. Abbina questa visibilità a EDR e a un piano di risposta testato, così un account o un dispositivo compromesso può essere isolato prima che l'attaccante si spinga oltre.
Come Foxpass limita il movimento laterale all’edge della rete
Foxpass, di Splashtop, offre servizi RADIUS, PKI e LDAP ospitati nel cloud che controllano chi e cosa può connettersi alla tua rete. Aiuta i team IT ad applicare controlli dell'identità a ogni connessione Wi-Fi, VPN e cablata, limitando così fin dove può arrivare un attaccante partendo da un dispositivo compromesso.
1. Accesso alla rete e segmentazione basati sull'identità
Foxpass Cloud RADIUS autentica ogni utente o dispositivo prima che si unisca alla rete, quindi lo assegna a una VLAN in base all'appartenenza al gruppo di directory in Google Workspace, Okta, Microsoft Entra ID, OneLogin o LDAP. Un dispositivo guest o BYOD finisce in un segmento con accesso limitato, mentre i dispositivi di finanza e ingegneria finiscono ciascuno nel proprio.
Se uno di questi dispositivi viene compromesso, l'attaccante inizia da un segmento con percorsi limitati verso il resto della rete. Scopri di più sulla segmentazione dinamica basata sull'identità con Foxpass.
2. Autenticazione senza password basata su certificati
Foxpass Cloud PKI emette certificati ai dispositivi tramite integrazioni MDM e SCEP, così i dispositivi gestiti possono connettersi con EAP-TLS. Con l'autenticazione basata su certificati, non c'è una password Wi-Fi condivisa da rubare e riutilizzare.
Per i team che non sono pronti a spostare ogni dispositivo sui certificati, Foxpass supporta anche EAP-TTLS con credenziali utente individuali, che sostituisce comunque una singola password condivisa con un accesso per utente.
3. Un accesso che segue la tua directory
Poiché l'accesso alla rete è legato all'appartenenza ai gruppi della directory, le modifiche nel tuo identity provider si riflettono anche sulla rete. Quando una persona lascia l'organizzazione o cambia ruolo, il suo accesso alla rete e il posizionamento nel segmento cambiano con lei, chiudendo così l'accesso tramite credenziali obsolete che gli attaccanti prendono spesso di mira.
Foxpass registra anche i tentativi di accesso per VLAN e criterio. Questi registri mostrano quali utenti e dispositivi si sono connessi, quando e a quale segmento, supportando così il lavoro di rilevamento descritto in precedenza.
Foxpass controlla chi accede alla rete e dove viene indirizzato. Non ispeziona il traffico tra dispositivi che si trovano già sullo stesso segmento, quindi funziona al meglio insieme a EDR, ai controlli degli account basati sul privilegio minimo e alle altre pratiche sopra descritte.
Riduci la tua superficie di attacco prima che un aggressore la trovi
Il movimento laterale trasforma un singolo dispositivo compromesso in un incidente che coinvolge l'intera organizzazione, ed è la portata dell'attaccante a determinare fin dove si estenderà l'incidente. Limitare quali dispositivi possono entrare nella rete, dove ciascuno viene collocato e quali credenziali possono essere riutilizzate offre agli attaccanti molti meno punti in cui spostarsi.
Foxpass aiuta i team IT ad applicare controlli di identità e certificati a ogni connessione di rete senza gestire server RADIUS o PKI internamente. Inizia una prova gratuita per vedere come Foxpass si adatta alla tua rete.
