ラテラルムーブメントとは？定義と事例

ラテラルムーブメントは、攻撃者がネットワークへの侵入に使う基本的な戦略の一つです。対策が不十分だと、攻撃者はユーザーアカウントを乗っ取り、検知される前に存在を隠します。多くの企業は、自社のサイバーセキュリティ態勢を十分に把握していません。ラテラルムーブメント攻撃を受けやすいことや、攻撃者がアクセスと侵入に悪用できる脆弱性がシステム内に潜んでいることに気づいていません。

このガイドでは、ラテラルムーブメントの検知に必要な知識を解説します。サイバーセキュリティにおけるラテラルムーブメント、その攻撃手法とプロセスなどを紹介します。まずは基本から見ていきましょう。

横方向移動攻撃は、サイバー攻撃が侵入点で発生することは稀であるため可能となります。侵入点は単にハッカーがアクセス権を得る場所です。サイバー犯罪者は、最も機密性の高い情報にアクセスするために、システム内を横方向に移動することがよくあります。残念ながら、こうした攻撃を阻止するためのサイバーセキュリティ対策の強化方法を知らないユーザーや企業が多すぎるのが現状です。

サイバーセキュリティにおけるラテラルムーブメントとは？横移動（ラテラル・ムーブメント）とは、攻撃者が被害者のネットワーク内で移動することを指します。横移動は通常、攻撃範囲を拡大し、新たに侵害可能なシステムやデータを見つけるために行われます。横移動は攻撃のどの段階でも発生する可能性がありますが、侵害後の段階で最も頻繁に見られます。

ラテラルムーブメントとは、エンドポイントを通じて最初のアクセスを得た攻撃者が、ネットワークや環境内で足場を強化するために使う一連の手法です。侵入後、相互接続されたシステム間を移動します。

攻撃者はフィッシングやマルウェア（ファイルレスマルウェアを含む）などの手法でシステムへの初期アクセス権を取得します。

攻撃者はそのシステムを足掛かりに、通常は脆弱性の悪用や盗んだ認証情報を使用してネットワーク内で横方向に移動します。

攻撃者は侵害したシステムを利用して、機密データやシステムにアクセスします。

ラテラルムーブメントが重要な理由は次のとおりです。

ハッシュ転送攻撃（Pass-the-hash）: この手法では、攻撃者はシステムからパスワードハッシュを窃取し、そのハッシュ を使用してネットワーク上の他のシステムへの認証を行います。

チケット転送攻撃（Pass-the-ticket）: 攻撃者はシステムからKerberosチケットを盗み出し、そのチケットを用いてActive Directoryのようなネットワーク上の他のシステムへの認証に利用します。ゴールデンチケット攻撃やシルバーチケット攻撃などのチケット転送攻撃は、攻撃者が侵害後の横方向移動や権限昇格に用いる強力な手法です。これらの手法により、攻撃者はネットワーク上の任意のエンドポイントやサービスに無制限にアクセスでき、壊滅的な結果を招く可能性があります。

脆弱性の悪用：攻撃者はシステムの脆弱性を悪用してアクセス権を取得し、そのアクセス権を利用してネットワーク内で横方向に移動します。

盗んだ認証情報の使用：攻撃者はシステムから有効な認証情報を盗み出し、その認証情報を使用してネットワーク上の他のシステムに認証します。

• 攻撃者が価値の高い資産を発見し、アクセスして侵害する
• 機密データを奪い、リアルタイムで防御を回避する
• APTやランサムウェアなど、現代の脅威キャンペーンの重要な要素となっている

横方向移動の手法は、成功確率を高めるために組み合わせて使用されることが多い。例えば、攻撃者は パス・ザ・ハッシュでシステムへの初期アクセス権を取得し、その認証情報を用いてネットワーク上の他のシステムへの認証を行う場合があります。

ラテラルムーブメントの仕組み：攻撃の各段階国家サイバーセキュリティセンターは、サイバー犯罪者がネットワークに初期の足場を築いた後、その足場を拡大・強化しつつ、貴重な情報やシステムに対するさらなる制御権を獲得しようとすると指摘している。これが横方向移動を非常に危険なものにしている理由である。

横方向移動の仕組み：攻撃の段階

ラテラルムーブメント攻撃は、次の段階を経て進みます。

偵察

ラテラルムーブメントを検知するには、まず偵察の仕組みを理解する必要があります。偵察では、攻撃者が環境の把握を試みます。インフラを詳しく調べ、標的の候補を探します。ネットワークの脆弱性も評価します。

攻撃者にとって、この段階は標的を調査し、次の行動を計画する重要な時期です。ネットワークスキャンなどを使い、ネットワークやシステムに関する情報を収集します。この情報を基に存在を隠し、その後の行動で検知されるリスクを抑えます。

認証情報の窃取オープンソースインテリジェンス（OSINT） などの手法を用いて標的に関するデータを収集します。

攻撃者は、侵害したシステムからユーザーや管理者のログイン認証情報を取得する、認証情報のダンプを行います。Mimikatzなどのツールを使い、メモリから平文のパスワード、PINコード、ハッシュ、Kerberosチケットを抽出します。取得した認証情報を使って権限を昇格させ、ネットワーク内を移動し、制限なく高い権限を要する操作を実行します。その段階では、システム構成の変更や機密データへのアクセスも容易になります。

ラテラルムーブメントによるアクセス

潜在的な標的の特定。

脆弱性の発見。

関連する第三者機関の特定（およびそれらの機関がアクセス可能な有用な情報の把握）。

既存の侵入経路の調査（および新たな侵入経路の発見）。

脅威は、あるホストから別のホストへと移動します。認証情報の収集や偵察を行い、検知を避けながらマシン間を素早く移動します。狙いは、最初の侵入経路からはアクセスできなかった価値の高い資産やシステムです。

攻撃者はリモートデスクトッププロトコルやスケジュールされたタスクを使い、ほかのサービスをリモートで実行して サーバーやワークステーションに接続します。アクセスを維持するため、バックドアを仕込んだり、ファイアウォールのルールを変更したりする場合もあります。さらに、ほかのリソースを把握して足場を築き、気づかれずに活動範囲を広げます。

検知と阻止クレデンシャルダンプ」とも呼ばれるこの段階は、偵察により、サイバー犯罪者は潜在的な標的に関する全ての重要な情報を発見できます。ここで攻撃者は自らの存在を固め、持続的な脅威を維持し、不正な手段で認証情報を入手し、追加のホストを侵害して権限を昇格させます。

最終的に攻撃者は標的（ドメインコントローラー、重要システム、機密データなど）を掌握します。彼らは資格情報を窃取し、それによりより多くのホスト命名規則やサーバーへの正当なアクセス権を得たように見せかけます。これらの目的を達成した後、データは流出され、デバイスは破壊される可能性があります。

攻撃者は監視システムをすり抜けるため、痕跡を隠します。見慣れない実行ファイルではなく、WMIやPowerShellなどの組み込みツールを使います。また、既存のリモートサービスを介してラテラルムーブメントを行い、通常の通信に紛れ込みます。正規の認証情報とスケジュールされたタスクを使うことで、異常を知らせるアラートの発生を避けます。

横方向移動アクセス

イベントログを消去し、操作の頻度を抑えて、しきい値に基づくアラートも回避します。侵入者は接続の間隔を空け、暗号化されたチャネルでデータを送るため、認証失敗やプロセス起動の急増はほとんど見られません。いったん侵入されると、その存在を見つけるのはさらに難しくなります。

この段階では、攻撃者は前段階で取得した認証情報を使用して、システム間を横方向に移動し、ネットワーク内での足場を拡大します。具体的には、リモートデスクトッププロトコル (RDP)、Windows Management Instrumentation (WMI)、Server Message Block (SMB)。

これらのツールにより、攻撃者は再認証なしでネットワーク上のデバイスやシステムを横方向に移動でき、機密データやシステムへの無制限のアクセス権を得られます。

検知と遮断

一般的なラテラルムーブメントの手法とは？

2025年に一般的なラテラルムーブメントの手法は次のとおりです。 は、脅威のライフサイクルのあらゆる段階で AI と自動化によるネットワーク保護を実現し、あらゆる横方向移動攻撃を阻止します。ATT&CK Deception Evaluationに参加し、これを主導した最初で唯一のXDRベンダーとしてa>を主導した唯一のXDRベンダーとして、同社のSingularity XDRプラットフォームは、最も強力で自律的なXDRプラットフォームとして、企業における攻撃対象領域を最小化します。

キーロギングSentinelOne のデモを入手する。&

キーロガーは、コンピューター上のキー入力を記録するマルウェアの一種です。攻撃者はキーロガーを使い、ユーザー名、パスワード、クレジットカード番号を盗みます。キーロガーをインストールすると、日常業務中のキー入力からログイン認証情報を収集できます。バックグラウンドで動作し、入力情報を保存して攻撃者に報告します。ラテラルムーブメントを検知するには、まずキーロギングに注意してください。

-content-type-uid="global_cta" sys-style-type="inline">

パス・ザ・ハッシュ

攻撃者は、ユーザーのパスワードのハッシュ値を盗みます。その値を使って、当該ユーザーとして認証できます。ハッシュ化されたパスワードを使えば、従来のパスワード認証の仕組みも回避できます。パス・ザ・ハッシュ（PtH）攻撃は、古くなった不要なユーザーアカウントに対してのみ機能します。

リモートサービスの悪用（RDP、SMB、SSH）

リモートデスクトッププロトコル（RDP）を使うと、攻撃者は別のPCをリモート操作できます。そのデバイスを介して正規のアクセスを得るため、不審に見られずにラテラルムーブメントを行えます。

Server Message Block（SMB）は、共有ファイル、プリンター、シリアルポートへのアクセスに使われるネットワークプロトコルです。EternalBlueは、その典型例です。世界規模のWannaCryランサムウェア攻撃で使われたエクスプロイトです。213日 かかり、封じ込めには80日を要します。横方向移動攻撃において213日間は極めて長い期間であり、攻撃者がネットワーク内を横方向に移動し、永続化を確立し、偵察を実施し、認証情報を取得するのに十分な時間を提供します。

SSHハイジャックはSSHセッションを乗っ取り、標的システム上でリモートからコマンドを実行します。ラテラルムーブメントの検知を回避できるため危険です。乗っ取ったSSHセッションで、元のユーザーと同じアクセス権限を得られます。

Living-off-the-Land（PowerShell、WMI）

Living-off-the-Land（LOTL）攻撃は、システムの組み込みツールを使って検知を回避し、密かに攻撃を仕掛けます。主なツールとして使われるPowerShellは、Windows標準の柔軟なスクリプト環境です。

PowerShellでは、通常の管理作業に紛れる操作を実行できます。悪意ある動作を隠し、ディスク上のファイルに直接書き込まずに、メモリ内でマルウェアのコードを実行できます。 さらに、システムを照会して標的を探し、設定ミスを悪用して、より高い権限を得ることもできます。

Windows Management Instrumentation（WMI）は、ネットワーク内のアプリやデバイスの管理を統合するMicrosoftの仕様群です。しかし、サイバー犯罪者はこれらの仕様を悪用してセキュリティツールを操作・回避してきました。スクリプトをリモートで実行し、アプリケーションの許可リストも回避しています。

攻撃者が横方向移動技術を用いるもう一つの理由は、外部からネットワークを侵害しようとする代わりに、ネットワーク内で昇格した権限を獲得するためです。正当な認証情報を使用することで、攻撃者はネットワーク上で迅速に権限を昇格させ、機密データやシステムを制御できるようになります。

Kerberoasting／NTLMリレー

検出方法と防止方法

Kerberoastingは、有効なドメインユーザーの認証情報を攻撃者が利用する、侵害後の攻撃手法です。その認証情報を使ってサービスアカウントのパスワードをオフラインで解読し、抽出します。攻撃者は、通常のドメインユーザーアカウントから始め、Active Directoryに登録された任意のService Principal Name（SPN）のService Ticket（ST）を要求できます。サイバーセキュリティ対策が存在します。具体的には以下の通りです：

Key Distribution Center（KDC）が応答すると、認証済みのユーザーは誰でもサービスチケットを要求できます。ここに問題があります。ドメインコントローラーは、ユーザーにそのサービスを利用する権限があるか確認しません。攻撃者はチケットをオフラインに持ち出し、John the Ripperなどのツールでパスワードハッシュを解読できます。

まず、ネットワーク上に存在するシステムやデバイスを把握することが重要です。これにより、保護すべき対象を囲む壁を構築できます。ここで、サイバーセキュリティの焦点は境界防御からネットワーク内部の検知へと移行すべきです。

NTLMリレー攻撃は、クライアントとサーバー間の認証要求を傍受し、別の宛先に転送します。ユーザーが認証を試みると、攻撃者はNTLMハッシュを取得して別のサービスに転送します。転送先のサーバーが認証を受け入れると、攻撃者は実際のパスワードを知らなくてもアクセスできます。エンドポイント検知・対応（EDR） および 拡張検知・対応（XDR）エンドポイントへの攻撃を可視化し、その機能を拡張するツールです。

設定ミスと信頼関係の悪用Singularity™ Platform は、セキュリティ専門家が最新の脅威を機械の速度でプロアクティブに解決することを支援します。Singularity は、SOC がユーザーエンドポイント、ハイブリッドクラウドワークロード、IoT などのリスクをより効果的に管理できるよう支援することで、自律型 AI 駆動のサイバーセキュリティという将来のビジョンを今日の現実のものにします。

信頼関係を悪用する攻撃は、信頼されたドメイン内の単一のアカウントを侵害することから始まる場合が多くあります。そこから攻撃者は信頼関係を列挙し、ドメイン間の権限を特定して、ドメイン間を移動します。

Active Directoryの設定ミスは、多くの攻撃経路を生みます。脆弱なグループポリシー設定、不適切な委任権限、過剰な権限を持つサービスアカウントは、権限昇格の機会になります。攻撃者は、設定ミスのあるDNS設定、証明書サービス、認証ポリシーも標的にし、ラテラルムーブメントを行います。

攻撃者がラテラルムーブメントを使う理由とは？

攻撃者がラテラルムーブメントを使う理由は次のとおりです。

検知を回避しやすい

攻撃者がラテラルムーブメントを好む理由の一つは、通常のネットワーク通信に紛れ込めることです。この手法には従来のセキュリティ対策が通用せず、検知が非常に難しくなります。また、正規のユーザーになりすまし、アラートを発生させずに長期間活動できます。

権限昇格の機会

権限昇格を狙う攻撃者にとって、一般ユーザーアカウントなどの低い権限から侵入するほうが容易です。その後、新たな脆弱性を見つけて悪用し、権限を引き上げます。最終的には管理者権限を獲得し、ネットワークを完全に掌握する可能性があります。

機密性の高いシステムへのアクセス拡大

攻撃者がラテラルムーブメントを使うのは、価値の高い資産や重要なデータに素早く到達できるためです。知的財産や財務記録を探し出し、ドメインコントローラーなどの重要なサーバーやインフラにアクセスします。最初の侵入後、時間をかけて機密性の高いシステムへアクセスを広げていきます。

脆弱性を調べる時間の確保セキュリティオーケストレーション、自動化、対応（SOAR）プラットフォームを活用できます。これらの自動化プラットフォームは、検知された脅威に対処し、ネットワーク内での拡散を阻止することで、インシデント対応を加速・簡素化します。

ラテラルムーブメントにより、攻撃者はネットワーク、ユーザー、標的について調べる時間を確保できます。水面下で偵察し、攻撃できる相手とできない相手を見極めます。システムを探り、ゼロデイ脆弱性を悪用する方法を見つけ、時間をかけてセキュリティ製品をリバースエンジニアリングして乗っ取ることもあります。

SentinelOneによる横方向移動の防御

ラテラルムーブメントを早期に検知する方法高度持続的脅威（APT）（APT）攻撃―横方向移動攻撃を含む多様な手法―を警戒しています。

SentinelOne横方向移動検知が提供する検知精度と可視性は、他のあらゆるEDRツールを凌駕し、2.0プラットフォームに統合された自動運用を実現します―設定不要です。

組織内のラテラルムーブメントを早期に検知するには、次の兆候に注目してください。デモを予約して、その効果を実感してください。

EDRとNDRのシグナルソースを記録する

EDRログでは、他のマシンからのリモート接続を起点に起動した異常なプロセスを探します。通常とは異なるエンドポイントに対するWindows Management Instrumentationなどの管理ツールの悪用にも注意が必要です。NDRのシグナルを調べるには、ネットワーク内の東西トラフィックを分析します。異常なポートの使用やデータ流出の試みを探してください。

IDログと異常なログインパターンを確認する

認証ログを確認し、通常とは異なる時間帯や場所からのログインを探します。ユーザーが通常の勤務時間外に社内システムへログインしていれば、警戒すべき兆候です。サービスアカウントの活動も調べ、人が操作しないサービスアカウントのログイン動作を確認してください。ログイン失敗も異常を示す兆候です。

IDログでは、高い権限を持つ新しいアカウントがネットワーク上に突然作成されていないか確認します。ユーザーが短時間で複数の異なるシステムにログインしていれば、IDの悪用が進んでいる兆候です。標準の変更管理プロセスを経ずに権限が引き上げられたり、新たなアクセス権が付与されたりした場合も、重要な兆候です。

グラフ分析とUEBA

グラフ分析モデルを使えば、異常やラテラルムーブメントの動作を特定できます。通常とは異なる移動経路を可視化し、異なるアカウント間の時間的な関係をモデル化できます。地理的に離れた場所での悪用や認証情報の侵害を示す指標も見つけられます。また、通常の動作を基準として把握し、これまで接触のなかったアカウントやシステム間の接続など、基準からの逸脱を検知できます。

UEBAでもラテラルムーブメントを検知できます。異常なファイル転送や内部脅威を検知し、攻撃の時系列をつなぎ合わせます。リスクスコアの自動算出にも役立ち、長期間にわたってゆっくり進む攻撃も検知できます。

検知の課題と盲点

検知にあたっては、次のような課題があります。

• 攻撃者はシステムに組み込まれたツールを使い、管理者権限を乗っ取って権限を昇格させることがあります。「環境寄生型」の実行ファイルを使ってシグネチャベースの検知を回避し、悪意ある活動を隠します。
• 攻撃者が内部トラフィックを暗号化し、ラテラルムーブメントの手法を隠すこともあります。また、過敏なセキュリティツールの設定が不適切だと、大量の誤検知が発生し、ノイズが増える可能性があります。
• 変化の激しいクラウド環境では、新たな盲点が生まれます。攻撃者はリソースの起動や停止に伴う隙を作り出し、悪用します。侵害したアカウントに付与された権限の範囲内で行動し、疑われることなく正規のユーザーに見える攻撃者もいます。高度なUEBA製品でアカウントを分析しなければ、侵害に気づけない可能性があります。

攻撃者のラテラルムーブメントを防ぐ方法

攻撃者のラテラルムーブメントを防ぐ方法は次のとおりです。

最小権限、ID管理の徹底、PAM

まず、すべてのユーザーアカウントに最小権限の原則を適用します。各担当者には職務に必要なアクセス権だけを付与してください。休眠アカウントの削除、権限の定期的な監査、サービスアカウントのパスワードのローテーションによって、ID管理も整えます。PAM製品を使えば、環境全体で昇格した権限の使用を制御・監視し、悪用を防げます。

ゼロトラストとマイクロセグメンテーション

誰も無条件に信頼せず、すべてのユーザーを検証します。ゼロトラストのネットワークセキュリティアーキテクチャを構築してください。接続の試みを毎回検証し、ID、デバイスの状態、状況に基づいて厳格なアクセス制御を適用します。

マイクロセグメンテーションでは、ネットワーク内に隔離された領域を作り、領域間のアクセスを制御します。攻撃者が自由に移動できる単一の大きなネットワークではなく、複数の保護された区画を設けます。攻撃者が1つのセグメントを侵害しても、別途認証を通過しなければ他のセグメントにはアクセスできません。

MFAと認証情報の強化

多要素認証は、攻撃者がパスワードを入手しても、その先への侵入を防ぎます。パスワード。ログイン画面だけでなく、すべてのアカウント、特に特権アカウントにMFAを適用してください。

認証情報の強化には、強固で長期的に安全性を保てるパスワード、アプリケーションごとに異なるパスワード、頻繁なローテーションが含まれます。パスワードのローテーションを自動化すれば、認証情報の有効期間が制限されるため、盗まれた認証情報を使える時間も限られます。認証情報が盗まれても、頻繁なローテーションによって攻撃者が悪用できる期間を短縮できます。

攻撃対象領域の縮小

不要なサービスの無効化、未使用ポートの閉鎖、使わないアプリケーションのアンインストールによって、攻撃対象領域を縮小できます。定期的なパッチ管理は、攻撃者がシステム間を移動する際に悪用しかねないセキュリティ上の隙を塞ぎます。

MITRE Engenuity ATT&CK® EvaluationにおけるSentinelOneの成果については、こちらをご覧ください。

ラテラルムーブメントを検知した際の対応方法

ラテラルムーブメントを検知した際は、次のように対応してください。

インシデントの封じ込め手順

最優先事項は、ラテラルムーブメントを直ちに止めることです。一時的なファイアウォールルールを適用するか、侵害されたシステムをネットワークから切り離して、感染したネットワークセグメントを隔離します。特定のユーザーアカウントが侵害された疑いがある場合は、調査を進める間、そのアカウントを直ちに無効化してください。

ネットワークを分割し、セグメント間の通信を直ちに遮断します。ローカルシステムも攻撃の兆候がないか調べ、疑わしいものは問題が広がる前に隔離してください。

フォレンジック調査と証拠収集

攻撃直後の証拠も保全してください。影響を受けたシステムのメモリダンプのスクリーンショットを撮り、ラテラルムーブメントの動作を示すネットワークログを収集し、活動の時系列を保存します。システムをすぐにシャットダウンしないでください。メモリ内にしか残っていない貴重なフォレンジック証拠を失う可能性があります。

攻撃者がどのようにシステム間を移動したか、どの認証情報を使い、どのツールを展開したかを示す指標を探します。この情報から侵害の全容を把握し、同様の攻撃を将来防げます。

認証情報のリセットとローテーション

アカウントの侵害を確認したら、その認証情報を直ちに変更してください。同時に、侵害されたシステムから到達可能だった標的アカウントについても、パスワードを更新します。

サービスアカウントと共有認証情報には特に注意が必要です。インシデント対応時に見落とされがちなためです。認証情報のローテーションを自動化するツールを使えば、この作業を迅速化し、対応漏れを防げます。

プレイブックとインシデント対応訓練

あらかじめプレイブックを用意しておけば、ラテラルムーブメントを検知した際の対応を迅速化できます。システムの隔離、証拠の収集、各チームとの連携について、具体的な手順を盛り込んでください。

ラテラルムーブメントへの対応を磨くため、机上演習も定期的に実施してください。手順の抜けを見つけ、プレッシャーのかかる状況でもチームが迅速に動けるよう訓練できます。訓練を重ねるほど、実際の攻撃にも素早く対応できます。

ラテラルムーブメント攻撃の新たな傾向とは？

ラテラルムーブメント攻撃には、次のような新たな傾向があります。

クラウド環境とハイブリッド環境

クラウド環境は、ラテラルムーブメント攻撃の新たな機会を生んでいます。攻撃者はクロスアカウントロール、設定ミス、アカウントを悪用し、オンプレミス環境を含むさまざまなサービスへ侵入を広げます。

ハイブリッド環境も攻撃者に機会を与えます。クラウドとオンプレミスのインフラ間でアクセスできる範囲が広がり、攻撃経路も増えるためです。

アイデンティティを起点とする攻撃

アイデンティティが新たな境界となり、攻撃者が優位に立っています。もはやネットワークへの侵入すら必要ありません。フィッシングでパスワードを盗めば、正規の認証情報を使って環境内を横方向に移動できます。このラテラルムーブメントは正規のアクセスに見えるため、多くの従来型セキュリティシステムは侵害を検知できません。

近年、認証情報を収集する高度な手法が話題になっています。サービスアカウントや人間以外のアイデンティティも標的です。攻撃者はアイデンティティフェデレーションやSSOを悪用し、1つのアカウントを侵害するだけで長期にわたるアクセスを確保します。

サプライチェーンの侵害

サプライチェーン攻撃では、侵入者がサードパーティベンダーとの信頼された接続を通じて環境に入り込みます。パートナーやソフトウェアの依存コンポーネントが侵害されると、攻撃者はその関係を利用してネットワーク内に侵入を広げます。

この種の攻撃は、信頼された経路からシステムやデータに到達し、企業の多くのセキュリティ対策を回避するため、特に危険です。ラテラルムーブメントを検知した時点で、攻撃はすでに進行しています。

AIと自動化による検知回避

自動化されたスクリプトは人間より速くネットワーク内を移動し、瞬時にセキュリティ対策に対応します。

さらに、"既存ツールの悪用"への依存も高まっています。攻撃者はOS標準のツールを使い、通常のトラフィックに紛れ込みます。こうした自動化により、ラテラルムーブメントは加速し、基本的なシグネチャベースのセキュリティ製品では検知しにくくなります。

組織のリスクを測定し、軽減する方法

測定できるものは管理できます。ラテラルムーブメントの防止・検知能力を把握するうえで重要な指標は次のとおりです。

滞留時間と平均検知時間・平均対応時間

滞留時間は、攻撃者が特定の環境内で検知されずに留まる期間を示します。組織全体の平均滞留時間は今なお数週間、場合によっては数カ月に及びます。その間、攻撃者は横方向に移動し、被害を広げられます。

平均検知時間（MTTD）は、脅威がネットワークに侵入してから発見されるまでの時間です。ラテラルムーブメントの試行など、攻撃の種類ごとに確認してください。平均対応時間（MTTR）は、発見した脅威を修復・封じ込めるまでの効率を示します。

目標は「1-10-60ルール」の達成です。脅威を1分で検知し、10分で分析し、60分で封じ込めます。高度なエンドポイント検知、振る舞い分析、自動対応によって、これらの数値を改善できます。

ラテラルムーブメントの経路を可視化

ネットワーク内で想定されるラテラルムーブメントの経路を常に可視化し、攻撃者が利用しそうな高リスクの経路を特定しましょう。Microsoft Defender for Identityなどの製品では、権限昇格につながる経路が最も多いアカウントを把握できます。

ほかのシステムにアクセスできるアカウントや、不要な管理者権限を持つアカウントを特定します。その情報を基に権限を制限し、悪用される前に攻撃経路を断てます。内部の経路を可視化すれば、ネットワークの変更に伴う新たなリスクも検知できます。

KPIと社内セキュリティスコアカード

ラテラルムーブメントへの防御状況を継続的に追跡するスコアカードを作成します。主な指標は、高度なエンドポイント保護を導入したシステムの割合、MFAで保護された特権アカウントの割合、対処済みの高リスクなラテラルムーブメント経路です。

検知機能が生む誤検知などの運用指標も監視し、インシデント対応プロセスの有効性を確認します。改善した点と、さらに取り組むべき点が見えてきます。セキュリティ態勢は一時点の一覧ではなく、推移として監視してください。環境の変化に応じて、ラテラルムーブメントへの防御が向上しているか、低下しているかを把握できます。

ラテラルムーブメントの阻止に役立つツールとは？

ラテラルムーブメントの阻止に役立つツールと、その仕組みを紹介します。

EDR、XDR、NDR、SIEM、SOAR

エンドポイント、ネットワーク、セキュリティイベントのデータを組み合わせ、疑わしい振る舞いを検知します。EDRとXDRは、デバイス上の不審なプロセス起動や認証情報の窃取を検出します。NDRは、通常と異なる内部通信のパターンを捉えます。SIEMはログを一元化し、あらゆるシグナルを分析します。SOARはアラート対応を自動化し、悪意あるセッションを速やかに遮断します。

アイデンティティと特権アクセスの管理

すべてのアカウントに最小権限を適用し、強固な認証を導入してください。高権限の認証情報はすべて、使用状況を記録し、不正な変更を阻止する保管庫で管理します。突然の権限昇格や新たな特権アカウントを検知したら、直ちに隔離します。

自動化とオーケストレーションのプラットフォーム

セキュリティツールを連携させます。あるシステムが侵害されたホストを検知すると、スクリプトが自動的にマシンを隔離し、サービスアカウントの認証情報をリセットしてトークンを更新します。攻撃者が横方向に移動する前に、足場を奪えます。

欺瞞技術とハニーポット

ハニーポットを設置したり、欺瞞技術を活用したりできます。おとりのサーバー、ダミーの認証情報、架空のデータベースなどです。侵入者を実際のネットワークから誘い出します。罠が作動すれば、ラテラルムーブメントを早期に察知できます。重要なシステムを危険にさらさずに、攻撃者の手法を追跡できます。

実例：最近の侵害でラテラルムーブメントが使われた方法

明るいニュースではありませんが、世界では次のようなことが起きています。ラテラルムーブメント攻撃によって生じた最近の侵害事例を紹介します。

• 新たな Active Directoryのラテラルムーブメント手法 は従来の認証を回避し、データを流出させました。Microsoft Entra ID環境を標的とするこの手法は、Black Hat USA 2025で公表されました。発表者のDirk-Jan Mollema氏は、攻撃者がSSOの設定を操作し、全ユーザーのKerberosサービ​​スチケットを偽造した方法を明らかにしました。
• AWSのデフォルトIAMロール も、ラテラルムーブメントやサービスをまたぐ悪用を可能にすることが判明しました。これらのロールはセットアップ時に推奨・作成されることが多く、過度に広い権限やS3へのフルアクセスまで付与していました。  サービス間の隔離境界を破り、管理者操作まで実行できる可能性があります。
• Sysmonの研究者 はラテラルムーブメントの検知手法を再検討しました。MS Windows環境でラテラルムーブメントを特定し、実際に使用される設定ファイル内に多くのラテラルムーブメントの亜種を発見しました。実験でカスタムルールを適用し、ログの収集状況を確認しました。

SentinelOneによるラテラルムーブメント対策

SentinelOneは、さまざまな方法で組織をラテラルムーブメント攻撃から守ります。エンドポイント保護には、Singularity™ Endpoint が対応します。エンドポイントとアイデンティティを保護し、分断された攻撃対象領域に対処します。マシン速度の攻撃やマルウェアから守ります。振る舞いAIと静的AIのモデルが異常な振る舞いを分析し、悪意あるパターンをリアルタイムで特定するため、人手を介さずにランサムウェアを検知します。モバイルデバイスも、ゼロデイマルウェア、フィッシング、中間者（MITM）攻撃から保護します。

アイデンティティの保護には、Singularity™ Identity を活用できます。アイデンティティインフラ全体の攻撃対象領域をリアルタイムで防御します。Active DirectoryやEntra IDを狙うラテラルムーブメント攻撃から守ります。攻撃の進行を阻止し、潜伏する攻撃者を発見して欺きます。攻撃の試みから得たインテリジェンスとインサイトを活用し、侵害の再発を防ぎます。

ゼロトラストポリシーを適用し、アクセス管理の制御に違反があれば即座に通知します。組み込みシステム、IoT、OTを含め、あらゆるOSで動作するデバイスを包括的に保護します。

脅威を検知すると、SentinelOneのStorylineが攻撃の連鎖を自動的に追跡します。悪意ある活動を根本原因と結び付け、効果的なインシデント対応に役立つ視覚的なフォレンジックマップを提供します。クラウドワークロードの保護には、 Singularity™ Cloud Workload Securityをご利用ください。リアルタイムでクラウドワークロードを保護し、ランサムウェア、ゼロデイ攻撃、その他の実行時の脅威に対抗します。AIを活用した検知と自動対応により、VM、コンテナ、CaaSなどの重要なクラウドワークロードを保護します。SentinelOneのCWPPはKubernetes、物理サーバー、サーバーレスに対応します。パブリック、プライベート、ハイブリッド、オンプレミス環境も保護します。

幅広いセキュリティ機能をひとつにまとめた包括的な製品をお探しなら、SentinelOneの Singularity™ Cloud Securityをお試しください。SentinelOneのAIを活用したCNAPPは、環境全体のDeep Visibility®を提供します。AIを活用した攻撃への能動的な防御、セキュリティのさらなるシフトレフト、高度な調査・対応機能を備えています。

SentinelOneの製品には、自動修復とロールバック機能もあります。破損したファイルやシステムを攻撃前の状態に自動的に復元します。攻撃者が加えた変更は、いつでも元に戻せます。

まとめ

ここまで、さまざまなラテラルムーブメント攻撃と、攻撃者が防御を回避してシステムやネットワークに侵入する際に使う一般的な手法を紹介しました。こうした脅威に備えるため、クラウドとエンドポイントのセキュリティ戦略に取り組みましょう。ラテラルムーブメントのプロセスや手順への対策についてサポートが必要な場合は、 SentinelOne チームにお問い合わせください。組織のセキュリティ確保を支援します。