ラテラルムーブメント（Lateral Movement）：それは何か、仕組み、予防策

横方向の移動とは？

横方向の移動とは、サイバー攻撃者がネットワークへの初期アクセスを獲得し、その後、サブシステム、アプリケーション、データに対してさらに探索・展開し、悪意のある活動を行うために用いる一連の技術です。攻撃者は標的システムを直接攻撃するのではなく、ネットワーク内を横に移動しながら価値のある標的を見極め、権限を昇格し、より大規模な攻撃のための位置取りを行います。

攻撃中の横方向の移動の目的は、侵害されたネットワーク内での支配範囲と到達範囲を拡大することです。この段階では、攻撃者が機密データの保管場所などの高価値ターゲットや、ドメインコントローラーのような重要サーバーを見つけてアクセスし、管理者権限を取得するなどの権限昇格を行い、ネットワーク上で長期間にわたり検知されないアクセスを維持し、データ抽出、ランサムウェアの展開、または重要サービスの妨害といった最終攻撃に備えることができます。

• 初期アクセス： 攻撃者はフィッシングメール、マルウェア感染、または盗まれた認証情報によってネットワークにアクセスします。
• 偵察： 攻撃者がアクセスを得ると、ネットワークを調査してその構造を把握し、弱いシステムやユーザーアカウント、サーバー、アプリケーションなどの資産を特定しようとします。
• 権限昇格： 最初の探索の後、攻撃者は資格情報を盗み、アプリケーションやシステムにある既知またはゼロデイの脆弱性を悪用することで、より高いレベルのアクセス権を得ようとします。
• 横方向の移動： リモート デスクトップ プロトコル、PowerShell、その他の管理ユーティリティなどのツールを使って、攻撃者は1つのシステムから別のシステムへと移動し、支配の範囲と到達範囲を拡大します。
• 最終攻撃： ネットワークを把握し、サブシステムで十分なアクセスを取得した後、攻撃者は機密データを盗むこと、ランサムウェアを展開すること、または重要なサービスやシステムを破壊することで最終攻撃を実行します。

横方向の移動はどのように機能するのか？手順を追って解説

横方向の移動（Lateral movement）とは、攻撃者がネットワークセキュリティに対する初期侵害に成功した後、ネットワークおよびそのサブシステムを探索して完全または部分的な支配権を獲得し、悪意のある目的を達成するために用いられる多段階プロセスです。各フェーズのより詳細な内訳は、以下に示します。

ステップ 1：Initial Access（初期アクセス）

サイバー犯罪者は、ネットワーク防御を突破して少なくとも1つのシステムにアクセスするために、さまざまな手法を用います。

フィッシングメール（Phishing Emails）

機密情報を明らかにするよう人を欺き、はめ込むために用いられるさまざまな種類のフィッシング攻撃があります。

スピアフィッシング

特定の個人をだまして、認証情報を開示させたり、悪意のあるリンクや添付ファイルをクリックさせたりして、システムを感染させることを目的としたメールです。

ホエーリング

CEOやCFOのような著名な人物を狙い、その特権アカウントへのアクセスを得ることを目的とした、特定の種類の攻撃です。

ビジネスメール詐欺（BEC）

攻撃者は電子メールを通じて、信頼できる組織（例：ベンダー、ビジネスパートナー、同僚）になりすまし、機密情報の開示や資金の移転を目的として行動します。

マルウェア感染

キーロガーや Remote Access Trojans（RATs）のようなマルウェアは、電子メールの添付ファイル、感染した USB デバイス、さらに感染した実行コードが埋め込まれた正規サイトの広告を通じて展開され、標的ネットワークにバックドアを開きます。

総当たり攻撃

ユーザー名とパスワードのさまざまな組み合わせを試す自動化ツールは、Remote Desktop Protocol（RDP）、VPN、Web アプリケーションのようにインターネットに公開されているサービスに対して、体系的に攻撃するために使用されます。

ソフトウェアの脆弱性

攻撃者は、まだパッチが適用されていないオペレーティングシステム、アプリケーション、Web サーバー、またはネットワーク機器に存在する既知の脆弱性を特定し、悪用します。まだパッチが提供されていないゼロデイ（Zero Day）エクスプロイトは、無断アクセスの獲得に非常に効果的です。

ステップ 2：内部レコナサンス

初期アクセスの後、攻撃者は内部レコナサンスの次の段階を開始し、Network Mapping のようなネットワークおよび接続されたシステムについて、目立たない形で情報を収集します。さらに、高い権限を持つユーザーアカウントを特定し、重要なサーバー、共有フォルダー、データベースを見つけ、さまざまなセキュリティ設定を評価します。

この演習で使用される一般的なツールは次のとおりです。

• コマンド プロンプトと PowerShell を使用して、メモリ内スクリプトを実行し、システムおよびネットワークの構成を評価します。
• PSExec は、可用性と権限レベルを評価するために、リモート システムでコマンドを実行する用途のコマンドライン ツールです。
• NetStat は、ネットワーク接続、リッスンしているポート、および確立済みの接続に関する情報を収集するために使用されるコマンドライン ユーティリティです。

偵察フェーズの目的は、ドメイン管理者のような管理者権限を持つアカウントを特定し、既知の既定パスワードを持つデフォルト アカウントを見つけ、機密情報を含むシステム領域または共有フォルダー、データベース サーバー、あるいは ERP ソリューションを特定することです。

ステップ 3：資格情報のダンプ（抽出）と権限の昇格

この段階では、キーロガーや Mimikatz のような特別に設計されたツールを用いて、システムメモリ、レジストリ、またはファイルから認証情報（ユーザー名やパスワード）を抽出します。

キーロガーは入力されたキー操作を静かに記録し、ユーザー名やパスワードのような機密データ、またはMFAのためのセキュリティ質問への回答を盗み取ります。Mimikatz は、平文のパスワード、Password Hashes、PIN、そして Kerberos のチケットを抽出するために特に使われ、LSASS、WDigest、Kerberos のようなWindowsコンポーネントを対象にします。

認証情報を入手すると、ローカルシステムまたはドメインレベルで、弱いポリシーや誤った設定（ミスコンフィグレーション）を悪用して権限を昇格するために、さまざまな手法が用いられます。攻撃者は、既知のOSの脆弱性、サービス、またはスケジュールされたタスクを特権アカウントと組み合わせて悪用し、特権アカウントのユーザーアクセス・トークンをなりすまします。

ステップ 4：横方向への移動と拡散

特権の認証情報を入手すると、攻撃者は最終攻撃のための機密情報の保管場所（リポジトリ）を特定するべく、ネットワーク内のさまざまなシステムを探索しながら、横方向への移動をさらに拡大します。技術には以下が含まれます。

Pass-the-Hash (PtH)

Pass-the-Hash (PtH) は、攻撃者が平文のパスワードを必要とせずにリモートシステムへ認証するために用いる巧妙な手法です。Windows システムでユーザーが認証すると、そのパスワードは暗号化ハッシュ（cryptographic hash）に変換され、その後の検証に使用されます。攻撃者は悪意のある活動のために、専用ツールを使ってこれらのパスワードハッシュを抽出します。さらにこの手法は、さまざまな検知メカニズムを効果的に回避できます。

Pass-the-Ticket (PtT)

Pass-the-Ticket (PtT) は、ドメイン参加（Domain joined）されたマシンで使用されます。ユーザーが Kerberos 認証でドメイン参加済みのマシンにログインすると、資格情報を再入力しなくても繰り返し認証できるように Ticket が割り当てられます。この Ticket は Pass-the-Ticket 攻撃で使用され、ユーザーのパスワードを知らなくても、ユーザーになりすまして（impersonating）ネットワーク上のさまざまなリソースにアクセスするために用いられます。

Remote Desktop Protocol (RDP)

リモート デスクトップ プロトコル（Remote Desktop protocol（RDP））は、デバイスへのリモート アクセスを可能にし、一般的に使用されるプロトコルです。誤って設定された RDP の設定や認証情報の使い回しにより、アクティブなリモート サービス セッションをハイジャック（Hijacking）することは、横方向への移動（lateral movement）に有効な方法であり、攻撃者がそのシステムの前に座っているのと同じように、完全なグラフィカル インターフェイスを提供します。

ステップ5：最終的な攻撃の実行

横方向への移動（lateral movement）のさまざまな段階がうまく完了した後、攻撃者は、ランサムウェアの展開、機密情報の抽出、重要インフラの妨害などの目的を実行します。

ランサムウェア（Ransomwares）は、ローカル ドライブ上のファイルやネットワーク上の管理共有を暗号化し、復号キーなしではデータを使用できなくするマルウェアです。暗号化後、攻撃者は通常、復号キーを解放するための支払いを要求する身代金メモを被害を受けたシステムに残します。さらに高度な攻撃では、支払わない限り復元できないように、バックアップも削除または暗号化されることがあります。

機密データの持ち出し（Sensitive data exfiltration）は、攻撃者が企業のデータを窃取して恐喝に使ったり、ダークネット市場で販売したりするためのもう一つの一般的な目的です。攻撃者は、一定の特権アクセスを達成し、ネットワーク内のデータソースを特定すると、自分のサーバー、クラウド ストレージ、またはリムーバブル ストレージへデータの送信を開始して足跡を隠します。このデータは、財務記録、従業員や顧客のプライベート データ、そしてソースコードや製品設計などの知的財産である可能性があります。

重要インフラのサボタージュ（破壊工作）は、主に電力網、病院、政府機関の運用技術（OT）を掌握して混乱を広げ、サービス拒否（DoS）を引き起こすことに関わります。これらの標的組織で特権アクセスが確立されると、マルウェアが展開されるか、あるいは装置を恒久的に損傷させるように設定され、組織の本来の運用やサービスが遅延したり、完全に停止したりします。

横方向（ラテラル）ムーブメント攻撃のフロー図

横方向（ラテラル）ムーブメントの例

横方向（ラテラル）ムーブメントの結果

横方向（ラテラル）ムーブメントを伴う高度なサイバー攻撃により、攻撃者は組織をさまざまな形で損傷させることができました。その一部は以下のとおりです。

最も一般的なターゲット

リスク評価

横方向移動（lateral movement）攻撃に関連するリスク評価は、脆弱性を特定し、セキュリティ対策を実装し、潜在的な侵入を「防止・検知・対応」するための効果的な戦略を策定するうえで非常に重要です。計画も十分な評価もないままだと、あらゆるセキュリティ上のギャップが未検知のまま残り、知識がない状態では壊滅的な攻撃への曝露リスクが高くなります。

横方向移動（lateral movement）は、もはや例外的なケースではありません。攻撃者がセキュリティ防御を突破した後に、価値ある資産へのさらなるアクセスを得るために使われる、非常に一般的な手口です。

横方向の移動（lateral movement）の潜在的な深刻度は、重大（critical）レベルです。事故やおとり（entrpment）による初期侵害の後、攻撃者がネットワークやサブシステム内を容易に移動できる場合、アクセス権限を素早く引き上げ、検知されることなく企業のシステムを完全に掌握し、財務面での損害や重要システムの停止など、大きな被害をもたらす可能性があります。

横方向の移動（lateral movement）では、検知の難しさも高まります。侵害されたアカウント（compromised accounts）や標準的なツール（standard tools）を使って、正当で通常のネットワーク活動のように見せかけるためです。横方向の移動を特定するには、高度な監視ツール、熟練したセキュリティ分析、そしてネットワークトラフィックのパターンに対する深い理解が必要です。

横方向の移動（lateral movement）の防止方法

組織のセキュリティチームは、先回り（proactive）かつ多層（layered）のアプローチを採用し、横方向の移動（lateral movement）を防止、検知、そして軽減（mitigate）するためのセキュリティ対策を戦略的に実装する必要があります。

Zero Trust Security – すべてのユーザーとデバイスは潜在的な脅威であると仮定します。

ゼロトラストセキュリティは、「決して信頼せず、常に検証する」という原則に基づくセキュリティ思想です。リソースにアクセスしようとするすべてのユーザーとデバイスに対して、強力な認証および認可の仕組みにより、厳格な Identity and Access Management (IAM) を実装します。ユーザー、デバイス、アプリケーションを継続的に検証し、再認証と再認可を行ったうえで、アクセス トークンに時間制限を設定します。さらに、ネットワークにセグメンテーションを作成して、ユーザー、デバイス、アプリケーションのアクセスを制限・分離し、仮に1つのセグメントが侵害された場合でも、検知されないままの移動（ラテラルムーブメント）を抑制します。

Multi-Factor Authentication (MFA) — 無断ログインをブロックします。

多要素認証は、ログイン手順に追加のセキュリティ層を加え、最終利用者に対して2つ以上の検証要素の提示を強制します。すべてのユーザーおよびサービスアカウントに対して多要素認証を適用し、この処理にコンテキスト認識を追加して、ログイン時にユーザーの位置、デバイス、アクセスしているリソースを考慮できるようにします。

ネットワーク セグメンテーション & マイクロセグメンテーション — 横方向の移動（ラテラルムーブメント）経路を制限します。

ネットワーク セグメンテーションでは、ネットワークを明確に区分された隔離セグメントに分割し、特定のリソース（例：ユーザー、デバイス、アプリケーション）に対してアクセスを制限します。マイクロセグメンテーションはこの考え方をさらに一段進め、リソース間の特定のワークフローに対してきめ細かな制御を行える、より小さなセグメントを作成します。これは、重要な資産やデータの流れを特定し、必要なリソース間に限定して正当な通信経路をマッピングすることで実現できます。セキュリティ ゾーンを定義し、VLAN、ファイアウォール、SDN（software defined Networks）の助けを借りて物理的および論理的なセグメンテーションを実装し、ネットワークアクセスに対して最小権限を適用します。

Endpoint Detection & Response (EDR) — デバイス上の疑わしいアクティビティを特定します。

Endpoint Detection & Response (EDR) ソリューションは、エンドポイントのアクティビティを継続的に監視・分析し、プロセスやネットワーク接続、ファイルの変更に関するデータを収集します。また、アラートや自動化されたレスポンスを生成することも可能です。EDR ソリューションは、アクティビティのパターンを分析し、悪意のある pass-the-hash の試行、リモート プロセス インジェクション、異常なツールの使用を検出できます。さらに、インシデント発生後の分析に関する洞察も提供し、セキュリティチームが攻撃者の動きを追跡し、潜在的に侵害されたシステムを特定するのに役立ちます。

Security Information & Event Management (SIEM) — ログを収集し、異常を検出します。

Security information and Event Management (SIEM) システムは、ネットワーク デバイス、サーバー、アプリケーションのエンドポイント、セキュリティ ツールなど、システム内のさまざまなソースからセキュリティ ログおよびイベント データを収集・分析し、疑わしいパターンや潜在的なセキュリティ インシデントを検出します。これにより横方向への移動を示唆でき、セキュリティ脅威のハンティングにも役立ちます。SIEM は、設定された Indicators of compliance (IoCs) に基づいてリアルタイムでアラートを生成し、失敗したログイン試行、特定の場所やシステムからの異常なネットワーク トラフィック、特権アクセスの試行に関するフォレンジックな洞察を提供します。

User Behavior Analytics (UBA) — 異常なログイン パターンを検出します。

ユーザー行動分析（UBA）は、ログイン時間、継続時間、デバイスの場所、リソース使用量などのユーザー活動パターンを監視・確立し、そのパターンからの逸脱を分析して、横方向への移動（lateral movement）のような疑わしい活動を検知します。UBA は異常な活動にリスクスコアを割り当てることで、セキュリティチームがアラートの優先順位を付けるのに役立ち、SIEM やその他のセキュリティツールと統合することもできます。

Netwrix PolicyPak がどのように役立つか

Netwrix PolicyPak は、組織のデバイス上でユーザー権限を管理するためのソリューションを企業に提供するエンタープライズ向けソリューションです。初期アクセスを取得されたとしても、攻撃者は完全にロックダウンされたシステムに直面し、そこから追加のアクセス権を得たり移動したりするための「手がかり（points）」や「進む方向（direction）」が存在しないため、横方向への移動（lateral movement）やランサムウェア攻撃の防止に役立ちます。

Netwrix PolicyPak のポリシーにより、必須として許可されたソフトウェア以外のあらゆるソフトウェアのインストールをユーザーができないようにし、ユーザーがリムーバブル（可搬）ストレージをどのように使用できるかを管理し、セキュリティ設定の変更を防止できます。さらに、エンドユーザーによるアプリケーション、ブラウザー設定、および Java アプレットとのやり取りを制限し、再設定できないようにすることで、コンプライアンスを達成し、グループポリシー（group policy）の設定が適切に構成されていることを確実にすることで脆弱性を低減できます。

検出、緩和、および対応戦略

攻撃の早期警告サイン

慣れない場所からの、または通常の勤務時間外の不審なログイン活動に注意してください。失敗したログイン試行の急増やネットワークトラフィックの急上昇は、ブルートフォース攻撃、マルウェア通信、ボットネットの活動、あるいは継続中の横移動を示している可能性があります。重要なサービスやバックエンドサーバーへのアクセスを試みること（特に、未知のIPアドレスからの試行や、大量データ転送の試み）には、異常を調査するための即時の対応が必要です。

直ちに実施する対応手順

まず、影響を受けたシステムを主ネットワークから切断して隔離します（ファイアウォールのルールで遮断する、または物理的にケーブルを抜くなど）。侵害された認証情報（credentials）を無効化するか、パスワードを強制的にリセットし、侵害されたアカウントでMFAを有効化してください。侵害されたシステム上のログ、ファイアウォール、認証ログを確認し、エンドポイントのアクティビティを分析して攻撃者の動きを追跡します。専門のフォレンジックツールを使用して、マルウェア、バックドア、または持続化（persistence）メカニズムの有無を分析してください。

長期的な緩和（ミティゲーション）戦略

最小権限の原則のような長期的な緩和（ミティゲーション）戦略を実装してください。ユーザーが業務の遂行に必要なリソースにのみアクセスできるようにし、アクセス権限を定期的に見直します。潜在的な攻撃に悪用され得る脆弱性を特定するために、定期的なペネトレーションテストを実施し、パッチ適用や設定変更によって速やかに対応してください。

横方向への移動（ラテラルムーブメント）が業界にもたらす影響

攻撃の進化と今後のトレンド

他のあらゆる技術と同様に、サイバー攻撃も進化を続けており、持続的に侵入し、検知されることなくネットワークを行き来するために、より高度な手法を取り入れています。

主要な統計データとインフォグラフィックス

サイバーセキュリティの報告によると、サイバー攻撃の開始地点の 91% はフィッシング技術であり、個人をだまして認証情報を開示させたり、気づかないうちにマルウェアをダウンロードさせたりします。

Mandiant の 2024 年レポートによると、検知されずにネットワーク内を移動する攻撃者の平均滞在時間は 21 日以上で、非常に憂慮すべき傾向です。一部のデータ窃取（エクフィルトレーション）手法は痕跡を残さず、この間隔があらゆる重要なサービスやシステムを混乱させるのに十分な時間を提供してしまうためです。

IBM のセキュリティレポート 2023 によると、攻撃のほぼ半数（43%）が横方向移動（ラテラルムーブメント）の手法を用いて、最終攻撃を開始する前に影響を増幅し、できるだけ多くのシステムやデータ格納領域（リポジトリ）に到達しようとします。

最後に

私たちは、横方向への移動（lateral movement）の定義と、たとえばフィッシング攻撃や感染した添付ファイルによる初期アクセス、初期アクセスを獲得した後のネットワークセグメントの偵察、既知の脆弱性を悪用して権限を昇格しシステムをさらに制御すること、重要なデータ格納先を見つけるための横方向への移動、そして機微データを抽出し、身代金のために重要なサービスを妨害する、または恒久的な被害につなげるための最終攻撃まで、さまざまな段階を詳しく扱ってきました。横方向への移動攻撃は、業界によって狙いが異なることがあります。たとえば金融機関では、攻撃者は不正な資金移転、クレジットカード詐欺、そしてインサイダー取引のための機微データの改ざんを狙います。ヘルスケア分野では患者データが目標となること、あるいは身代金のためにマルウェアを展開することがあります。小売業では、攻撃者がPOS（販売時点）端末に悪意のあるコードを投入して顧客データを抽出したり、パートナー企業へのアクセスを得るために中小企業を狙ったりします。

攻撃者がネットワークの1つのセグメントに侵入した場合でも、横方向への移動（lateral movement）を防止し検知するには、戦略とツールを組み合わせた積極的なアプローチが最善です。すべてのユーザーおよびサービスアカウントに対して多要素認証を実装し、ネットワークの分離を行い、最小権限アクセスの原則を採用してください。End point detection and response（EDR）ソリューションを導入し、失敗したログイン試行や異常なデータフローを定期的に監視し、ログを毎週徹底的に分析し、権限昇格シナリオについて異なる構成を定期的にテストします。

よくある質問