ラテラルムーブメントとは

この記事は約 2 分で読めます

ラテラルムーブメント (Lateral Movement) とは、攻撃者がネットワーク内の最初の足がかりを確保した後、より価値の高いシステムやデータに到達するためにネットワーク内を横方向に移動する攻撃手法です。最初に侵害されるのは一般ユーザーの端末であることが多く、そこから管理者権限の奪取やドメインコントローラーへの到達を目指して段階的に移動します。ランサムウェア攻撃では、ラテラルムーブメントによって組織全体のシステムに暗号化を拡散させるため、この段階での検知と遮断が被害規模を決定づけます。

キルチェーンにおける位置づけ

サイバーキルチェーンのフレームワークでは、ラテラルムーブメントは初期侵入 (Initial Access) と目的達成 (Actions on Objectives) の間に位置します。攻撃者は偵察、武器化、配送、エクスプロイト、インストールを経て足がかりを確保し、そこからラテラルムーブメントで高価値ターゲットに接近します。

代表的な手法

攻撃者はラテラルムーブメントにさまざまな手法を用います。いずれも正規の認証メカニズムや管理ツールを悪用するため、通常のトラフィックとの区別が困難です。

Active Directory の悪用

Windows 環境の Active Directory (AD) はラテラルムーブメントの主戦場です。AD はドメイン内のすべてのユーザー、コンピューター、グループポリシーを一元管理しているため、ドメインコントローラーを掌握されると組織全体が陥落します。攻撃者は Mimikatz などのツールでメモリ上の認証情報を抽出し、Golden Ticket 攻撃でドメイン管理者権限を永続的に確保します。IAM の観点から、特権アカウントの保護と認証情報のローテーションが極めて重要です。

マイクロセグメンテーションによる防御

ネットワークセグメンテーションをさらに細分化したマイクロセグメンテーションは、ラテラルムーブメントに対する最も効果的な防御策の一つです。ワークロード単位でセグメントを分離し、セグメント間の通信を厳密に制御することで、攻撃者が 1 台のマシンを侵害しても隣接するマシンへの移動を物理的に遮断します。ゼロトラストアーキテクチャの中核要素であり、クラウドネイティブ環境ではソフトウェア定義のマイクロセグメンテーションが標準的なアプローチになりつつあります。

EDR / NDR による検知

EDR (Endpoint Detection and Response) はエンドポイント上の不審なプロセス実行やファイルアクセスを監視し、ラテラルムーブメントの兆候を検知します。NDR (Network Detection and Response) はネットワークトラフィックを分析し、通常とは異なる内部通信パターン (たとえば、一般ユーザーの端末からドメインコントローラーへの直接接続) を検出します。両者を組み合わせることで、エンドポイントとネットワークの両面からラテラルムーブメントを捕捉できます。

最初の 1 台で被害を止めるという考え方

ラテラルムーブメント対策の出発点は、最初の侵入を完全には防げないという前提に立つことです。フィッシングのように利用者の操作を突く手口がある以上、教育や入口対策をどれほど重ねても、1 台目の侵害をゼロにはできません。そこで防御の焦点は、侵害された 1 台から先へ攻撃者を進ませないことと、移動の試みをいかに早く察知するかに移ります。この 2 つは働く軸が異なります。セグメントの分離は空間の軸で移動できる範囲そのものを狭め、EDR や NDR による監視は時間の軸で攻撃者が自由に動ける時間を縮めます。両方が機能していれば、侵入が起きても攻撃者は目的のシステムに到達する前に行き止まりに突き当たり、被害は最初の端末とその周辺で食い止められます。逆にどちらも欠けた平坦なネットワークでは、1 台の侵害がそのまま組織全体の危機に直結します。

ランサムウェア対策はランサムウェア防御の記事で、内部脅威への対応は内部脅威対策の記事で、ゼロトラストの実装はゼロトラストセキュリティの記事で詳しく解説しています。