Wat is een laterale-bewegingsaanval? Hoe het werkt & preventie

De meeste inbreuken beginnen op een alledaags apparaat: een laptop waarop een phishingmail is geopend, een account met een hergebruikt wachtwoord of een onbekend apparaat dat verbinding heeft gemaakt met de Wi-Fi op kantoor. Wat van die eerste toegang een ernstig incident maakt, is wat de aanvaller daarna kan bereiken. Die volgende stap heet laterale beweging.

Voor veel organisaties kan een aanvaller veel bereiken. Zero Networks' 2026-rapport over blootstelling aan laterale bewegingen, gebaseerd op activiteit in 312 enterprise-omgevingen, concludeerde dat 80% van de enterprise-servers bereikbaar is vanaf elke plek binnen het netwerk. De protocollen voor externe toegang die IT-teams elke dag gebruiken, zoals RDP en SSH, werken net zo goed voor een aanvaller met gestolen inloggegevens.

Deze gids legt uit wat een laterale bewegingsaanval is, hoe aanvallers zich van het ene systeem naar het volgende verplaatsen, op welke technieken ze het meest vertrouwen en hoe echte aanvallen zijn verlopen. Ook lees je hoe je laterale beweging detecteert en welke maatregelen beperken hoe ver een aanvaller kan komen zodra die eenmaal binnen is.

Wat is een laterale-bewegingsaanval?

Een lateral movement-aanval is de verzameling technieken die een aanvaller gebruikt nadat die zich aanvankelijk toegang heeft verschaft om zich vanaf het eerste gecompromitteerde apparaat naar andere systemen, accounts en delen van het netwerk te verplaatsen. Aanvallers vertrouwen doorgaans op gestolen inloggegevens en legitieme beheertools terwijl ze zich een weg banen naar waardevolle doelwitten zoals domeincontrollers, bestandsservers en gevoelige data.

MITRE ATT&CK, de veelgebruikte kennisbank over het gedrag van aanvallers, classificeert lateral movement als tactiek TA0008 en groepeert daar negen technieken onder. De meeste daarvan maken misbruik van protocollen die al op het netwerk draaien, waaronder RDP, SMB, SSH en WinRM. Omdat IT-teams elke dag dezelfde protocollen gebruiken, lijkt lateral movement vaak op routinematige administratieve activiteit.

Laterale beweging wordt vaak verward met privilege escalation, en aanvallers combineren die twee meestal. Laterale beweging betekent dat nieuwe systemen worden bereikt. Privilege escalation betekent dat hogere machtigingen worden verkregen op een systeem dat de aanvaller al beheert. Een typische aanval wisselt tussen beide: de aanvaller verhoogt de rechten op één host om sterkere inloggegevens te verzamelen en gebruikt die inloggegevens vervolgens om de volgende te bereiken.

Waarom aanvallers vertrouwen op laterale beweging

Het eerste apparaat dat een aanvaller compromitteert, is zelden het apparaat dat ze willen. Laterale verplaatsing geeft hen een pad van dat startpunt naar al het andere:

• Toegang krijgen tot hoogwaardige systemen. Een gephishte laptop op de marketingafdeling is belangrijk vanwege waar deze verbinding mee kan maken, zoals domeincontrollers, bestandsservers, financiële applicaties en back-upsystemen.

• Sterkere inloggegevens verzamelen. Elke nieuwe host kan gecachte wachtwoorden, hashes of tickets bevatten voor andere gebruikers, waaronder beheerders en serviceaccounts.

• Persistentie opbouwen. Steunpunten op meerdere machines zorgen ervoor dat een aanvaller in de omgeving kan blijven, zelfs nadat IT het eerste geïnfecteerde apparaat heeft opgeschoond.

• Een grotere buit voorbereiden. Ransomware-operators verspreiden zich naar zo veel mogelijk systemen voordat ze iets versleutelen, terwijl datadiefstalcampagnes in stilte gedurende weken of maanden informatie verzamelen.

• Opgaan in de massa. Activiteit die verspreid is over normale beheerprotocollen en geldige accounts genereert minder waarschuwingen dan malware die zichzelf aankondigt.

Hoe ver een aanvaller zich kan verplaatsen na de eerste compromittering, bepaalt grotendeels hoe ernstig het incident wordt.

Hoe een aanval met laterale verplaatsing werkt

Laterale verplaatsing volgt een herkenbare cyclus. Elke keer dat de aanvaller een nieuw systeem bereikt, herhalen ze de middelste fasen totdat ze zijn waar ze willen zijn.

Fase 1: eerste toegang

De aanval begint met een eerste toegangspunt. Veelvoorkomende toegangspunten zijn onder meer een phishingmail, een gestolen of hergebruikt wachtwoord, een blootgestelde remote access-service of een ongeautoriseerd apparaat dat op het netwerk is aangesloten.

Op dit punt heeft de aanvaller meestal controle over één systeem met lage waarde en beperkte rechten.

Fase 2: Interne verkenning

Vervolgens brengt de aanvaller de omgeving van binnenuit in kaart. Ze zoeken naar andere hosts, bestandsshares, gebruikers- en beheerdersaccounts en open poorten die ze vanaf het gecompromitteerde apparaat kunnen bereiken.

Aanvallers doen dit vaak met tools die al in het besturingssysteem zijn ingebouwd, waardoor er minder nieuwe bestanden of processen zijn die beveiligingstools kunnen markeren.

Fase 3: Toegang tot inloggegevens

Om verder te komen, heeft de aanvaller inloggegevens nodig. Ze verzamelen die uit het geheugen van het gecompromitteerde systeem, halen opgeslagen of gecachte wachtwoorden binnen, of onderscheppen inloggegevens die gebruikers intypen.

Gedeelde en hergebruikte wachtwoorden maken deze fase veel eenvoudiger, omdat één gestolen geheim toegang kan geven tot veel systemen.

Fase 4: Naar het volgende systeem gaan

Met de inloggegevens in handen meldt de aanvaller zich aan op een andere host, vaak via een standaard beheerprotocol. Waar inloggegevens tekortschieten, kunnen ze in plaats daarvan misbruik maken van een niet-gepatchte service op het doelsysteem.

Vanuit het perspectief van het netwerk kan deze stap eruitzien als een gewone aanmelding.

Fase 5: Het doel bereiken

Zodra de aanvaller een waardevol systeem bereikt, voeren ze hun doel uit. Dat kan betekenen dat gevoelige gegevens worden gekopieerd, ransomware tegelijk op veel hosts wordt uitgerold, of dat stilletjes toegang wordt behouden voor later.

Aanvallers wissen onderweg vaak logs of verwijderen tools om het onderzoek moeilijker te maken.

Fase 2 tot en met 4 herhalen zich bij elke nieuwe host, waardoor één gecompromitteerd account kan leiden tot toegang in een hele omgeving.

Veelvoorkomende technieken voor laterale beweging

MITRE ATT&CK houdt bij welke specifieke methoden aanvallers gebruiken om zich tussen systemen te verplaatsen. Een handvol daarvan komt voor bij de meeste echte inbraken, en elk daarvan wordt beperkt door een andere reeks beheersmaatregelen.

Externe services (T1021)

Met services op afstand logt de aanvaller in op een andere host met gestolen inloggegevens via een normaal adminprotocol zoals RDP, SMB en Windows-adminshares, SSH of WinRM. Tools zoals PsExec en PowerShell-remoting maken dit snel, en het verkeer ziet eruit als alledaags IT-werk.

De kans is groot. Zero Networks ontdekte dat 87% van de enterprise servers inkomende RDP of SSH van brede interne bronnen accepteert, en dat 78% bereikbaar is via SMB of WinRM.

Pass the hash en pass the ticket (T1550)

Met deze technieken kunnen aanvallers zich authenticeren met gestolen authenticatiemateriaal in plaats van met een wachtwoord. Pass the hash hergebruikt een NTLM-wachtwoordhash en pass the ticket hergebruikt een Kerberos-ticket. Tools zoals Mimikatz halen dit materiaal rechtstreeks uit het geheugen van een gecompromitteerde machine.

Verouderde authenticatie houdt deze aanvallen levensvatbaar. Zero Networks meldt dat 43,2% van de interne authenticatie nog steeds op NTLM draait.

Misbruik van services op afstand (T1210)

Wanneer er geen geldige inloggegevens beschikbaar zijn, kan een aanvaller misbruik maken van een kwetsbaarheid in een service die op een andere interne host draait. Interne systemen worden vaak trager gepatcht dan systemen die rechtstreeks via internet bereikbaar zijn, waardoor bekende kwetsbaarheden langer open blijven staan.

Kaping van externe servicesessies (T1563)

Bij sessiekaping neemt de aanvaller een bestaande SSH- of RDP-sessie over die een legitieme gebruiker al heeft geopend. Omdat de sessie al is geauthenticeerd, erft de aanvaller de toegang van die gebruiker zonder diens inloggegevens nodig te hebben.

Laterale overdracht van tools (T1570)

Zodra de aanvaller een nieuwe host kan bereiken, kopiëren ze de tools die ze nodig hebben, zoals malware, scripts of beheerhulpprogramma's. Dit gebeurt meestal via SMB, hetzelfde kanaal dat voor het delen van bestanden wordt gebruikt.

Interne spearphishing (T1534)

Een aanvaller die een legitieme mailbox beheert, kan collega's binnen de organisatie phishen. Berichten van het account van een echte collega zijn veel overtuigender dan externe e-mail, wat dit een effectieve manier maakt om meer inloggegevens te verzamelen.

De onderstaande tabel vat samen hoe elke techniek werkt en welke maatregelen die beperken.

Nog een andere route verdient aandacht, omdat die de phishingstap helemaal overslaat. Als een netwerk elk apparaat accepteert dat een gedeeld Wi‑Fi-wachtwoord kent, of elk apparaat dat op een open bekabelde poort wordt aangesloten, dan begint een aanvaller met dat wachtwoord of met fysieke toegang al op het interne netwerk, zonder ook maar één gecompromitteerd account. Door te bepalen welke apparaten verbinding mogen maken met het netwerk, en waar ze terechtkomen, sluit je die route af.

Voorbeelden van laterale verplaatsingsaanvallen

De bovenstaande technieken duiken steeds weer op in goed gedocumenteerde incidenten. Deze drie voorbeelden laten zien hoe laterale beweging één enkel toegangspunt veranderde in een veel grotere compromittering.

NotPetya (2017)

NotPetya verspreidde zich binnen netwerken door inloggegevens uit het geheugen te stelen met een aangepaste versie van Mimikatz, en vervolgens PsExec en WMI te gebruiken om zichzelf op andere machines uit te voeren, zoals beschreven in de waarschuwing van CISA over de malware en de analyse van Mandiant. Het gebruikte ook de EternalBlue-SMB-exploit tegen hosts zonder patches.

Omdat de op inloggegevens gebaseerde methode afhankelijk was van geldige aanmeldingen, kon NotPetya ook machines infecteren die volledig gepatcht waren tegen EternalBlue. Gedeelde en hergebruikte beheerdersreferenties lieten het zich snel verspreiden over verbonden netwerken.

Compromittering van de SolarWinds-toeleveringsketen (2020)

In de SolarWinds-campagne kwamen aanvallers binnen via een update met een trojan van SolarWinds Orion-software, volgens CISA-advies AA20-352A. Eenmaal binnen, meldde CISA dat ze zich lateraal verplaatsten met WMI en geplande externe taken.

De aanvallers verhoogden ook hun rechten in Active Directory en vervalsten authenticatietokens, waardoor ze zich van on-premises netwerken naar cloudomgevingen konden verplaatsen, zoals Microsoft 365.

Akira-ransomware (2023 tot heden)

CISA-melding AA24-109A beschrijft hoe Akira-gelieerde partijen initiële toegang kregen via VPN's zonder MFA en vervolgens referenties buitmaakten met tools zoals Mimikatz en LaZagne. Voordat ze zich lateraal verplaatsen, schakelen ze vaak beveiligingssoftware uit om detectie te voorkomen.

In het advies staat ook dat Akira-actoren legitieme tools voor externe toegang gebruiken om aanwezig te blijven en niet op te vallen, een patroon dat vaak voorkomt bij moderne ransomwaregroepen.

In elk geval nam de schade toe naarmate de aanvallers zich verder konden verplaatsen en meer inloggegevens konden hergebruiken.

Hoe detecteer je laterale bewegingen

Laterale beweging is moeilijk te herkennen omdat er geldige accounts en normale beheertools voor worden gebruikt, maar het laat nog steeds patronen achter die opvallen tegenover alledaagse activiteit. Veelvoorkomende signalen zijn:

• Eén account dat zich binnen korte tijd bij veel hosts authenticeert. Gewone gebruikers melden zich doorgaans aan bij een kleine, voorspelbare set systemen.

• Beheerdersprotocolverkeer tussen werkstations. RDP-, SMB- of WinRM-verbindingen tussen twee laptops van medewerkers hebben zelden een legitieme reden.

• Beheertools die draaien op onverwachte machines. PsExec, PowerShell-remoting of externe WMI-opdrachten die vanaf een endpoint zonder adminrechten worden gestart, verdienen extra aandacht.

• Aanmeldingen die het normale patroon van de gebruiker doorbreken. Let op ongebruikelijke tijdstippen, onbekende apparaten of toegang tot systemen buiten de rol van de gebruiker.

• Pieken in mislukte authenticatie. Herhaalde mislukte pogingen op servers, Wi-Fi of VPN kunnen wijzen op het raden van wachtwoorden of het testen van inloggegevens.

• Nieuwe of onbekende apparaten in het netwerk. Een apparaat dat niemand herkent op een gevoelig segment is de moeite waard om meteen te onderzoeken.

Deze signalen komen uit verschillende bronnen, dus zichtbaarheid hangt ervan af dat je ze samenbrengt. Endpoint detection and response (EDR)-tools tonen proces- en referentieactiviteit op elke host. Windows-authenticatielogs laten zien wie waar heeft ingelogd. Netwerkmonitoring laat zien welke systemen met elkaar communiceren. Netwerkauthenticatielogs, zoals RADIUS-records, laten zien welke gebruikers en apparaten verbinding maakten met Wi-Fi-, VPN- of bekabelde netwerken en wanneer.

Hoe je laterale beweging voorkomt

Geen enkele afzonderlijke maatregel stopt elke techniek voor laterale verplaatsing. De meest effectieve aanpak combineert twee doelen: beperken wat een aanvaller vanaf één apparaat kan bereiken, en beperken welke inloggegevens ze kunnen stelen en hergebruiken.

1. Segmenteer het netwerk op rol en vertrouwensniveau

Segmentatie verdeelt het netwerk in zones, zodat gebruikers, gasten, IoT-apparaten en servers zich op aparte segmenten bevinden met gecontroleerde routes ertussen. Een gecompromitteerd apparaat op een gasten- of BYOD-segment zou geen toegang mogen hebben tot financiële systemen of domeincontrollers.

Segmentatie werkt het best wanneer plaatsing gekoppeld is aan identiteit in plaats van handmatig onderhouden te worden. Onze gids over netwerksegmentatie behandelt hoe je dit plant en afdwingt.

2. Verifieer elk apparaat voordat het verbinding maakt met het netwerk

Gebruik 802.1X op Wi-Fi- en bekabelde netwerken, zodat elke gebruiker of elk apparaat bewijst wie het is voordat toegang wordt verleend. Inloggegevens per gebruiker of per apparaat vervangen een gedeeld wachtwoord dat iedereen met fysieke nabijheid of een gelekt wachtwoord zou kunnen gebruiken.

Dit sluit de route af waarbij een aanvaller simpelweg een apparaat met het netwerk verbindt en van daaruit verdergaat.

3. Vervang herbruikbare wachtwoorden waar mogelijk door certificaten

Op certificaten gebaseerde netwerkauthenticatie, zoals EAP-TLS, koppelt toegang aan een certificaat dat is geïnstalleerd op een beheerd apparaat. Er is geen netwerkwachtwoord dat een aanvaller kan phishen, raden of verzamelen en op een ander systeem kan hergebruiken.

4. Dwing minimale rechten af voor accounts

Geef beheerders aparte accounts voor administratief werk en beperk waar accounts met verhoogde rechten kunnen inloggen. Voeg MFA toe aan admintoegang, zodat een gestolen wachtwoord alleen geen toegang kan geven tot bedrijfskritische systemen.

Minder bevoorrechte inloggegevens die in de cache zijn opgeslagen op alledaagse werkstations betekent dat een aanvaller minder kan verzamelen in de fase van toegang tot inloggegevens.

5. Beperk beheerprotocollen

Sta RDP, SMB, WinRM en SSH alleen toe vanaf de hosts die ze nodig hebben, zoals aangewezen beheerderswerkstations. Blokkeer verkeer tussen werkstations op deze protocollen. Daarmee verwijder je veel van de paden die worden gebruikt voor externe services en de laterale overdracht van tools.

6. Patch interne services consequent

Interne systemen verdienen dezelfde aandacht voor patches als systemen die direct met internet zijn verbonden. Gecombineerd met segmentatie zorgt tijdig patchen ervoor dat kwetsbare services buiten bereik blijven en beperkt het misbruik van externe services.

7. Houd authenticatie in de gaten en reageer snel

Centraliseer logs van endpoints, servers en netwerkauthenticatie zodat verdachte patronen op één plek zichtbaar zijn. Combineer die zichtbaarheid met EDR en een getest responsplan, zodat een gecompromitteerd account of apparaat kan worden geïsoleerd voordat de aanvaller verder gaat.

Hoe Foxpass laterale verplaatsing aan de rand van het netwerk beperkt

Foxpass, van Splashtop, biedt cloudgehoste RADIUS-, PKI- en LDAP-services die bepalen wie en wat verbinding kan maken met je netwerk. Het helpt IT-teams identiteitscontroles toe te passen op elke Wi-Fi-, VPN- en bekabelde verbinding, waardoor wordt beperkt hoe ver een aanvaller kan komen vanaf een gecompromitteerd apparaat.

1. Identiteitsgebaseerde netwerktoegang en segmentatie

Foxpass Cloud RADIUS verifieert elke gebruiker of elk apparaat voordat het verbinding maakt met het netwerk en wijst het vervolgens toe aan een VLAN op basis van lidmaatschap van directorygroepen in Google Workspace, Okta, Microsoft Entra ID, OneLogin of LDAP. Een gast- of BYOD-apparaat komt terecht in een beperkt segment, terwijl apparaten van finance en engineering in hun eigen segment terechtkomen.

Als een van die apparaten gecompromitteerd raakt, begint de aanvaller op een segment met beperkte routes naar de rest van het netwerk. Meer informatie over dynamische, identiteitsgebaseerde segmentatie met Foxpass.

2. Wachtwoordloze certificaatgebaseerde authenticatie

Foxpass Cloud PKI geeft certificaten uit aan apparaten via MDM-integraties en SCEP, zodat beheerde apparaten verbinding kunnen maken met EAP-TLS. Met certificaatgebaseerde authenticatie is er geen gedeeld wifi-wachtwoord dat kan worden gestolen en hergebruikt.

Voor teams die nog niet klaar zijn om elk apparaat over te zetten op certificaten, ondersteunt Foxpass ook EAP-TTLS met individuele gebruikersgegevens, waardoor één gedeeld wachtwoord nog steeds wordt vervangen door toegang per gebruiker.

3. Toegang die je directory volgt

Omdat netwerktoegang is gekoppeld aan het lidmaatschap van directorygroepen, worden wijzigingen in je identiteitsprovider doorgevoerd in het netwerk. Wanneer iemand de organisatie verlaat of van rol verandert, veranderen hun netwerktoegang en segmentplaatsing mee, waardoor verouderde inloggegevens worden afgesloten waar aanvallers het vaak op gemunt hebben.

Foxpass registreert ook toegangspogingen per VLAN en beleid. Die registraties laten zien welke gebruikers en apparaten verbinding maakten, wanneer en met welk segment, wat het detectiewerk ondersteunt dat eerder is beschreven.

Foxpass bepaalt wie toegang krijgt tot het netwerk en waar ze terechtkomen. Het inspecteert geen verkeer tussen apparaten die zich al op hetzelfde segment bevinden, dus het werkt het best in combinatie met EDR, least-privilege-accountbeheer en de andere hierboven genoemde werkwijzen.

Verklein je blast radius voordat een aanvaller die vindt

Laterale bewegingen veranderen één gecompromitteerd apparaat in een incident dat de hele organisatie raakt, en het bereik van de aanvaller bepaalt hoe ver dat incident gaat. Door te beperken welke apparaten verbinding kunnen maken met het netwerk, waar elk apparaat terechtkomt en welke inloggegevens opnieuw kunnen worden gebruikt, hebben aanvallers veel minder plekken om naartoe te gaan.

Foxpass helpt IT-teams identiteits- en certificaatcontroles toe te passen op elke netwerkverbinding zonder RADIUS- of PKI-servers in-house te draaien. Start een gratis proefperiode en ontdek hoe Foxpass in je netwerk past.