横方向への移動：攻撃者の手口と組織を守るためのベストプラクティス

導入

ネットワークおよびインフラのセキュリティのために Zero Trust のセキュリティパラダイムを導入していても、避けられない事態に備えて計画を立てる必要があります。いずれかの時点で、攻撃者がランサムウェアを展開する、またはその他の被害を与える意図であなたのネットワークに侵入します

典型的な攻撃は、だいたい次のような流れです：

1. 攻撃者は、フィッシングキャンペーン、パスワード推測攻撃、またはその他の手法によってユーザーアカウントを侵害し、その結果、エンドポイント、IoT デバイス、またはその他のシステム上に足場を築きます。
2. 彼らは環境内を横方向に移動し、重要な IT リソースにアクセスできるまで権限を昇格させます。この段階は、攻撃者がネットワークを調査しながらあちこちを移動するため、数週間、あるいは数か月に及ぶこともあります。
3. 攻撃者は機密データを持ち出し、ランサムウェアやその他のマルウェアを展開し、そして/またはシステムを破壊して停止時間（ダウンタイム）を引き起こします。

横方向の移動（lateral movement）の脅威はオンプレミスのネットワークに限られる、という誤解があります。しかし、横方向の移動はクラウド環境でも起こり得ます。さらに、攻撃者はオンプレミス環境とクラウド環境のシステム間を横方向に移動することもできます。

サイバーセキュリティ担当者には、脅威を検知し、攻撃のさらなる拡散を防ぐために攻撃を封じ込め、感染したすべてのシステムをクリーンアップする責任があります。組織を守るためには、脅威アクターが利用する手法を理解する必要があります。

横移動（lateral movement）と特権昇格（privilege escalation）とは何ですか？

脅威アクターは通常、標準ユーザー権限を持つアカウントを侵害することで、ネットワーク内に足場を築きます。目的を達成するには、攻撃者がより高いレベルのアクセス権限と制御権限を獲得する必要があります。つまり、攻撃者があなたの環境に侵入すると、まず偵察（reconnaissance）を行い、自分がアクセスできるリソースは何か、次に侵害できそうなアカウントは何かを把握し始めます。対象となるシステム基盤内で、ネットワークスキャンツールを使って稼働中のホスト、オープンポート、または実行中のサービスを特定することもあります。この「嵐の前の静けさ」の間にこそ、検知と適時な対応が非常に重要になります。

攻撃者は具体的にどのような手法を使いますか？

攻撃者が横方向に移動して権限を昇格するために使う、よくある手法をいくつか紹介します：

• LDAP の偵察— 脅威アクターは LDAP ディレクトリサービスに問い合わせて、オブジェクトや属性に関する情報を収集し、高い権限を持つアカウントや、奪取したい重要なリソースを特定できます。
• Pass-the-Hash 攻撃 — この手法では、ネットワーク トラフィックを傍受するか、マルウェアを使ってパスワード ハッシュを抽出することで、高い特権を持つユーザーのパスワードを盗み取ります。
• Kerberoasting — 脅威アクターは Kerberos 認証プロトコルを悪用して、Active Directory の servicePrincipleNames を持つユーザーの認証情報を盗み取ることができます。多くの場合、これらのアカウントはサービス アカウントであるため、通常のユーザー アカウントよりも高い権限レベルを持っています。
• 脆弱性の悪用 — ハッカーは、権限を昇格したり追加のシステムにアクセスしたりするために、システムやアプリケーションの既知の脆弱性を悪用することがよくあります。この種の攻撃は、未パッチまたは古いソフトウェアを利用します。
• 弱い設定を悪用 — サーバー、エンドポイント、その他のシステムにある弱い設定により、攻撃者は攻撃をさらに進められます。
• RDPを活用 — Windows システムの Remote Desktop Protocol (RDP) などのリモート管理ツールは、サイバー犯罪者によって、ネットワーク内で横方向に移動するために狙われることがよくあります。

ハッカーは、Bloodhound、PowerSploit、Empire などの横方向への移動を目的に設計された専用ツールをよく利用します。これらはネットワークをマッピングし、悪用の可能性がある標的を特定するために使用されます。

実例

横方向の移動を特徴とする、広く報道された攻撃の代表例として 2020 年の SolarWinds サプライチェーン攻撃があります。脅威アクターは SolarWinds のソフトウェアにアクセスし、ソフトウェア更新にバックドアを仕込みました。顧客がその更新プログラムをインストールすると、攻撃者は顧客のネットワークに対して特権アクセスを獲得しました。

同じ年の別の例として、Universal Health Services に対する Ryuk ランサムウェア攻撃がありました。ここでは犯人がフィッシングメールを使ってトロイの木馬のアプリケーションを配信し、その後そのアプリケーションがランサムウェアをダウンロードしました。続いてサイバー犯罪者は Mimikatz を使用して管理者の資格情報を盗み、ネットワーク全体で横方向に移動しました。

組織はどのように身を守れるのでしょうか？

IT 環境において、攻撃者が横方向に移動するのを防ぐために、以下のベストプラクティスの導入を検討してください。

ローカル管理者へのアクセスを制限します。

標準ユーザーにローカル管理者権限を割り当てられた時代は終わりました。アカウントが侵害されると、攻撃者はそのアカウントの権限を自動的に継承します。ローカル管理者権限がなければ、攻撃者は悪意のあるコードをインストールできません。

最小特権の原則を徹底しましょう。

最小特権の原則（POLP）は、各ユーザーおよびプロセスが、割り当てられた職務を遂行するために必要なネットワークリソースのみにアクセスでき、それ以上の権限は持つべきではないと述べています。POLP の当初の理解は、時間的な要素を含むように進化しました。つまり、特権は特定のタスクに必要な間だけ存在すべきです。

ソーシャルエンジニアリング攻撃をブロックしましょう。

サイバー犯罪者は、ソーシャルエンジニアリング攻撃によって標的の IT 環境へのアクセスを得ることがよくあります。この攻撃では、攻撃者が正当なユーザーをだまして、資格情報（クレデンシャル）を提供させます。ここでセキュリティ意識向上トレーニングが大きな効果を発揮します。なぜなら、ユーザーは多くの場合、あなたのセキュリティチェーンの弱点になりやすいからです。さらに、この種の攻撃を軽減するために、メールや Web のフィルタリングソリューションも利用できます。

パスワードを保護しましょう。

弱いパスワード は、攻撃者が password spraying のような手法を用いて認証情報を盗み取るのを簡単にします。すべてのパスワードにベストプラクティスの複雑性基準が求められるようにするのに役立つツールがあります。こうしたポリシーは、すべてのユーザーに対する適切なサイバー衛生（cyber hygiene）トレーニングで支えるべきです。さらに、すべての高い特権を持つアカウントには MFA を適用する必要があります。

常設の特権アカウントを just-in-time アクセスに置き換え、活動を監視してください。

管理者権限は、ハッカーにとって“王国の鍵”です。privileged access management（PAM）の堅牢な戦略を導入することは、特権アカウントが侵害されるのを防ぐうえで不可欠です。たとえば Netwrix Privileged Access Management Solution があります。このソリューションにより、IT環境全体で特権アカウントを特定でき、特定のタスクを完了するためにそれらを just-in-time（JIT）アクセスに置き換えることで攻撃対象領域を縮小できます。さらに、特権ユーザーがIT環境全体で何をしているのかを可視化し、不審な挙動を検知して通知します。

結論

横方向の移動（Lateral movement）は攻撃者がよく用いる手法です。適切な戦略、技術、ツールでそれを遮断し、封じ込めるようにしてください。