ラテラルムーブメントとは、攻撃者が侵害したネットワーク内を移動し、追加のシステムを制御したり、機密データや脆弱性を探索・悪用したりするために用いる攻撃手法です。ラテラルムーブメントを理解することは、組織のセキュリティリスクを軽減するための第一歩です。
目次
攻撃者は、機密データや重要システムを直ちに標的にするのではなく、時間をかけてネットワークを探索し、権限を昇格させ、価値の高い標的を特定した上で、ネットワーク内での永続的なアクセスを確立します。このような計画的な手法は、APT（高度な持続的脅威）をはじめとする高度なサイバー攻撃で頻繁に確認される攻撃手法です。
たとえ初期の侵害が発覚したとしても、攻撃者はネットワーク内でラテラルムーブメントを行うことで、検知を回避しながらシステム内部に潜伏し続けることができます。攻撃者がネットワーク内で永続的なアクセスを確立すると、ランサムウェア攻撃やデータ漏えい、スパイ活動などを通じて組織に深刻な被害をもたらす可能性があるため、適切なセキュリティ対策の導入が重要です。
ラテラルムーブメントの段階
ラテラルムーブメントは単一の行為ではなく、ネットワークに侵入した後、複数の段階を経て実行されます。以下に、ラテラルムーブメントの典型的な段階の概要を示します。
偵察
偵察段階では、攻撃者はまずネットワークのアーキテクチャを把握し、接続されているデバイスを特定して、価値の高い標的を探します。攻撃者は、機密データ、認証情報、セキュリティ設定の保存場所など、ネットワーク全体を調査して情報を収集します。これは攻撃者にとって非常に重要な段階であり、システム間の関係性を理解し、セキュリティ製品による検知を回避しながら次の攻撃計画を立てるために利用されます。
認証情報の収集
偵察が完了すると、攻撃者は侵害したシステムからユーザ名、パスワード、パスワードハッシュなどの認証情報の収集を試みます。Mimikatzのような認証情報ダンプツールや、脆弱なパスワードに対するブルートフォース攻撃は、より高い権限を持つアカウントへのアクセス権を取得するためによく使用される手法です。盗み出した認証情報により、攻撃者は正規ユーザになりすまし、疑われることなくネットワーク内を横断的に移動することが可能になります。
権限の昇格
権限昇格とは、ソフトウェアの脆弱性、設定ミス、またはアクセス制御の不備を悪用して、より高い権限を取得することです。攻撃者はアプリケーションの欠陥を悪用して管理者権限を取得し、重要なシステムへの広範なアクセス権を得る可能性があります。権限昇格は、攻撃者がネットワークのより深い領域へ侵入する能力を大幅に高めるため、ラテラルムーブメントにおいて極めて危険な段階です。
ラテラルムーブメントの実行
攻撃者は十分な認証情報と権限を取得すると、ネットワーク内でのラテラルムーブメントの実行に進みます。これは、ネットワーク内のシステム間を移動してリソースへアクセスし、攻撃の最終段階に向けた準備を行うとともに、セキュリティ担当者による対策を回避しながら活動範囲を広げることを意味します。攻撃者は、RDP（リモートデスクトッププロトコル）、PowerShell、WMI（Windows Management Instrumentation）などの正規ツールを利用して通常の業務操作に紛れ込み、検知を回避します。さらに、最初の侵入経路が発見されて遮断された場合でもアクセスを維持できるよう、バックドアの設置や永続化メカニズムの確立を行うこともあります。
ターゲットへのアクセスと目的の実行
ラテラルムーブメントの実行後、攻撃者は最終的な標的システムに到達します。これらのシステムには、機密データや知的財産、重要インフラが保存されていることが少なくありません。攻撃者は、ランサムウェアなどの不正プログラムを実行してファイルを暗号化したり、機密データを外部へ持ち出したり、システムを停止させて業務を妨害したりします。この段階は、ラテラルムーブメントの最終段階となることが一般的です。攻撃者が検知されないままネットワークへのアクセスを維持する期間が長くなるほど被害は拡大するため、早期の検知と適切な対策が重要です。
ラテラルムーブメントを悪用するサイバー攻撃の種類
ランサムウェア攻撃
ラテラルムーブメントは、ランサムウェア攻撃を拡大させる重要な要素です。攻撃者はシステム間を移動してマルウェアを拡散させ、ファイルを暗号化して身代金を要求する前に、組織への影響を最大化します。この戦略により、組織全体の業務停止につながる可能性があり、その結果、身代金の支払いを迫られるリスクが高まります。
データ漏えい
攻撃者は、機密情報を特定して窃取するために、しばしばネットワーク内でのラテラルムーブメントを利用します。ネットワークのさまざまな領域へ侵入することで、知的財産、財務記録、PII（個人情報）などの価値の高いデータを特定できます。データ漏えいが発生すると、組織は社会的信用の失墜や多大な経済的損失を被る可能性があります。
スパイ活動とAPT（高度な持続的脅威）
国家の支援を受けた攻撃者や高度なサイバー犯罪集団は、ラテラルムーブメントを利用して長期間にわたり価値の高いシステムへのアクセスを維持します。これらの攻撃者は、ネットワーク内に永続的に潜伏し、検知されることなく機密情報を収集したり、重要インフラを侵害したりすることを目的としています。
ボットネット感染
ボットネット攻撃において、ラテラルムーブメントは攻撃者がネットワーク内の他のデバイスを侵害するための手段となります。複数のエンドポイントに感染させることで、攻撃者はボットネットを拡大し、攻撃の規模を拡大できます。その結果、DDoS（分散型サービス拒否）攻撃や大規模なスパム攻撃などの深刻な被害につながる可能性があります。
ラテラルムーブメントの検知・防御対策
認証ログを監視する
認証ログは、ラテラルムーブメントを検知するための重要な情報源です。ログイン失敗の繰り返し、通常とは異なる場所からのログイン成功、不審な時間帯における予期せぬアクセスといった兆候は、悪意のある活動を示している可能性があります。これらのログを継続的に監視することで、不正アクセスの試行を早期に特定できます。
EDRおよびXDRソリューションを活用する
EDR（Endpoint Detection and Response）ツールは、不正な管理コマンドなどの不審なアクティビティがないか、個々のデバイスを継続的に監視します。しかし、攻撃者が回避手法を用いたり、防御機能を無効化したりする場合、EDRだけではラテラルムーブメントを完全に検知できない可能性があります。XDR（Extended Detection and Response）ソリューションは、エンドポイント、ネットワーク、サーバ、クラウド環境にわたるデータを統合分析することで、この課題への対応を支援します。複数レイヤーにまたがるアクティビティを相関分析することで、XDRは組織全体の可視性を向上させ、EDRを回避する高度な脅威の検知を支援するため、ラテラルムーブメント対策における重要な対策の一つとなります。
ネットワークトラフィックを分析する
NTA（ネットワークトラフィック分析）ツールは、異常なデータフローの検知に役立ちます。例えば、無関係なシステム間での予期せぬファイル転送や、外部宛先への不自然な大容量データのアップロードは、ラテラルムーブメントを示す有力な兆候です。
行動の基準値を設定する
通常の業務活動における基準値を設定することで、組織は異常な挙動をより迅速に特定できるようになります。例えば、普段PowerShellをほとんど利用しないシステムでPowerShellの利用が急増した場合、攻撃者による不正な活動の可能性を示唆します。このような基準値監視の効果を維持し、脅威を早期に発見するためには、継続的なログ収集と高度な分析ソリューションが必要です。
ラテラルムーブメントを防ぐための具体的な対策
ネットワークセグメンテーションを実施する
ネットワークを論理的に隔離されたセグメントに分割することで、攻撃者がシステム間を自由に移動できる範囲を物理的・論理的に制限できます。例えば、重要インフラのネットワークと汎用デバイスのネットワークを分離することで、万が一攻撃者が1つのセグメントを侵害した場合でも、被害範囲を最小限に抑え、企業全体のセキュリティリスクを低減できます。
ゼロトラストアーキテクチャを採用する
ゼロトラストの原則では、「何も信頼しない」を前提とし、ネットワークの内外を問わず、すべてのアクセスリクエストに対して厳格な検証を行います。このアプローチを導入することで、従来の境界防御への依存を最小限に抑え、ユーザやデバイスごとのきめ細かなアクセス制御が可能となり、ラテラルムーブメントの防止に役立ちます。
MFA（多要素認証）を実装する
MFAは、ユーザ認証に強力なセキュリティ層を追加することで、攻撃者が窃取したパスワードなどの認証情報を悪用するリスクを大幅に低減できます。複数の要素による本人確認をユーザに要求することで、組織は認証情報の窃取による被害の低減につなげることができます。
システムを定期的に更新し、パッチを適用する
パッチが適用されていないソフトウェアの脆弱性は、サイバー攻撃者にとって主要な侵入経路の一つとなります。定期的なパッチ適用を徹底し、最新のセキュリティ状態を維持することで、既知の脆弱性からシステムを保護することに役立ち、ラテラルムーブメントによる侵害リスクを低減できます。
権限を最小限に制限する
最小権限の原則を厳格に適用することで、ユーザのアクセス権限はそれぞれの業務に必要な最小範囲に制限されます。これにより、万が一攻撃者が従業員のアカウントを侵害した場合でも、不正に権限を昇格させたり、機密データへ不正アクセスしたりする行動を制限でき、被害の拡大を防ぐことができます。
従業員向けのセキュリティ教育を実施する
従業員に対してフィッシング攻撃や高度なソーシャルエンジニアリングの手法について教育・啓発を行うことは、攻撃の初期段階における情報漏えいリスクを軽減するうえで有効な対策の一つです。定期的なセキュリティ研修を実施することで、従業員は巧妙化するサイバー脅威を正しく認識し、組織のセキュリティを維持するための適切な行動を身につけることができます。
強力なパスワード管理で不正アクセスを防止する
複雑で固有のパスワードを設定することは、企業ネットワークへの不正アクセスを防止するうえで重要です。脆弱なパスワードや他サービスとの使い回しは、攻撃者に悪用されるリスクを高め、権限昇格やラテラルムーブメントを許す要因となります。厳格なパスワードポリシーの適用、MFAの実装、そして認証情報の定期的な見直しは、こうしたセキュリティリスクの低減に役立ちます。企業向けパスワードマネージャを活用することで、パスワードの安全性と一意性を効率的に確保できます。さらに、最小権限の原則と組み合わせることで、ユーザは業務に必要なリソースのみにアクセスできる環境を維持でき、不正アクセスによる被害の最小化に役立ちます。
ラテラルムーブメント対策に有効なセキュリティソリューションとは？
セキュリティ担当者に必要なのは、脅威を可視化するだけではありません。組織をラテラルムーブメントによるサイバー攻撃から守るためには、脅威情報の可視化、リスクの適切な優先順位付け、そして迅速かつ連携したインシデント対応が不可欠です。TrendAI Vision One™ Security Operations（SecOps）は、業界で高く評価されているXDR、次世代のエージェント型SIEM、そして高度なSOAR（セキュリティオーケストレーション、自動化、レスポンス）を統合した包括的なセキュリティソリューションです。セキュリティ運用全体の可視性を向上させ、脅威の検知から調査、対応までを効率化することで、セキュリティ部門が本来注力すべき業務に集中できるよう支援します。
Joe Lee
プロダクトマネジメント担当バイスプレジデント
Joe Leeはトレンドマイクロのプロダクトマネジメント担当バイスプレジデントとして、エンタープライズ向けEメールおよびネットワークセキュリティソリューションのグローバル戦略と製品開発を統括しています。