什麼是橫向移動？定義與範例

橫向移動是攻擊者用來進入您的網路最基本的策略之一。若您不夠謹慎，他們可能會劫持使用者帳戶，並在您注意到或偵測到他們之前隱藏其存在。大多數公司並不了解自身的網路安全態勢有多完善。他們沒有意識到自己容易遭受橫向移動攻擊，或系統中潛藏著可被攻擊者利用以取得存取權並滲透的弱點。

在本指南中，我們將介紹您需要了解的所有橫向移動偵測知識。您將了解網路安全中的橫向移動、橫向移動攻擊與流程的類型，以及更多內容。讓我們開始吧。

網路安全中的橫向移動是什麼？

橫向移動是一系列技術，對手在透過端點取得初始存取權後，會利用這些技術在您的網路或環境中建立更穩固的立足點。一旦進入內部，他們就會開始在彼此互連的系統之間移動。

橫向移動之所以重要，是因為：

• 攻擊者會尋找、存取並入侵高價值資產
• 他們可以進一步劫持敏感資料，並即時規避防禦機制
• 它們是現代威脅活動（如 APT 和勒索軟體）的關鍵組成部分

橫向移動如何運作？攻擊階段

以下是橫向移動攻擊的不同階段。這些內容說明了其運作方式：

偵察

在網路安全中偵測橫向移動，首先要了解偵察如何運作。偵察是攻擊者試圖了解您環境的階段。他們會深入檢視您的基礎架構，仔細審查並找出潛在目標，也會評估您網路中的弱點。

他們會研究您、蒐集資訊，而這也是他們規劃下一步行動的重要時機。他們可以使用不同技術，例如網路掃描，來蒐集有關您網路與系統的情報。這些資訊將幫助他們隱藏其存在，並在之後執行後續行動時，將被您偵測到的風險降到最低。

竊取認證資料

攻擊者可以進行認證資料傾印，從遭入侵的系統中取得您的使用者登入認證資料或管理員認證資料。他們可以使用 Mimikatz 等工具，從記憶體中擷取明文密碼、PIN 碼、雜湊值和 Kerberos 票證。一旦取得這些認證資料，他們就能利用它們提升權限。這將使他們能在網路中移動，並完全不受限制地執行更高層級的操作。此時，他們可以輕易修改您的系統組態並存取敏感資料。

橫向移動存取

威脅可從一台主機移動到另一台主機。他們可以蒐集並收割認證資料、進行偵察，並快速在機器之間跳轉以避免被偵測。他們的目標是到達那些無法透過初始進入點存取的高價值資產或系統。

他們可以使用遠端桌面通訊協定、排程工作，或遠端執行其他服務，以連線到伺服器和工作站。他們可能植入後門或調整防火牆規則以維持存取權。他們也可能對其他資源進行對應，並建立立足點，讓他們能悄悄擴大觸及範圍。

偵測與攔截

攻擊者會隱藏其蹤跡以避開監控系統。他們依賴 WMI 或 PowerShell 等內建工具，而非不熟悉的可執行檔，並且經常透過現有的遠端服務進行橫向移動，以融入例行流量。藉由使用合法認證資料和排程工作，他們可避免觸發異常警示。

他們也會清除事件記錄，並限制其行動速率，以維持在以閾值為基礎的警報之下。您幾乎看不到驗證失敗或程序啟動的尖峰，因為入侵者會拉開連線間隔，並透過加密通道傳輸資料。這使得一旦他們進入內部後，要發現其存在就困難得多。

最常見的橫向移動技術有哪些？

以下是 2025 年最常見的橫向移動技術：

鍵盤側錄

鍵盤側錄程式是一種惡意軟體，會記錄您在電腦上的按鍵輸入。攻擊者可以使用鍵盤側錄程式竊取使用者名稱、密碼和信用卡號碼。一旦安裝鍵盤側錄程式，他們就能在您忙於日常工作時蒐集您的登入認證資料。它會在背景執行，並透過儲存您的輸入資訊來回報給他們。若您想知道如何偵測橫向移動，首先要留意鍵盤側錄。

Pass-the-Hash

攻擊者會竊取您使用者密碼的雜湊版本。這可用來將其驗證為該使用者。雜湊密碼也讓他們能繞過傳統以密碼為基礎的驗證機制。Pass-the-hash (PtH) 攻擊僅適用於過時且不必要的使用者帳戶。

濫用遠端服務 (RDP, SMB, SSH)

遠端桌面通訊協定 (RDP) 可讓攻擊者遠端控制另一台 PC。由於他們透過另一台裝置取得合法存取權而不顯得可疑，因此能進行橫向移動。

Server Message Block (SMB) 是一種網路通訊協定，可讓他們存取共用檔案、印表機和序列埠。EternalBlue 就是這方面的經典範例。它是一種曾被用於全球 WannaCry 勒索軟體攻擊的漏洞利用。

SSH 劫持會接管 SSH 工作階段。它會在目標系統上遠端執行命令。這很危險，因為它可以規避橫向移動偵測。它可以取得與這些 SSH 工作階段原始使用者相同層級的存取權。

Living-off-the-Land (PowerShell, WMI)

Living-off-the-Land (LotL) 攻擊使用系統內建工具來規避偵測並發動隱匿攻擊。PowerShell 是這類攻擊的主要工具，而且它是 Windows 原生的彈性指令碼解決方案。

PowerShell 可以執行與一般管理員活動融為一體的工作。它會掩蓋惡意行為，並可在記憶體中執行惡意軟體程式碼，而無需直接寫入磁碟上的檔案。 它也可以查詢系統以尋找目標、利用錯誤組態，並取得更高層級的存取權。

Windows Management Instrumentation (WMI) 是一組 Microsoft 規格，用於整合網路內應用程式與裝置的管理。但網路犯罪分子已利用這些規範來操控並規避安全工具。他們已遠端執行指令碼，並規避應用程式允許清單。

Kerberoasting/NTLM relay

Kerberoasting 是一種後利用技術，可讓攻擊者使用一組有效的網域使用者認證資料。他們利用這些資料離線破解服務帳戶密碼並將其擷取出來。攻擊者可以從標準網域使用者帳戶開始，該帳戶會為任何註冊於 Active Directory 上的 Service Principal Name (SPN) 請求 Service Ticket (ST)。

Key Distribution Center (KDC) 很快就會回應，而且任何已驗證的使用者都可以要求服務票證。問題就出在這裡。網域控制站不會檢查該使用者是否已獲驗證可使用該服務。攻擊者可以將票證離線帶走，並使用 John the Ripper 等工具來破解密碼雜湊。

NTLM relay 攻擊會攔截並轉送用戶端與伺服器之間的驗證嘗試。當使用者嘗試驗證時，攻擊者會擷取 NTLM 雜湊並將其轉送至另一項服務。目標伺服器會接受轉送的驗證，讓攻擊者在不知道實際密碼的情況下取得存取權。

利用錯誤組態與信任關係

信任關係攻擊通常始於入侵受信任網域中的單一帳戶。從那裡開始，攻擊者可以列舉信任關係、識別跨網域權限，並在網域之間進行橫向移動。

Active Directory 中的錯誤組態提供了許多攻擊途徑。薄弱的群組原則設定、不當的委派權限，以及權限過大的服務帳戶，都會造成權限提升的機會。攻擊者也會鎖定錯誤設定的 DNS 設定、憑證服務和驗證原則，以造成橫向移動。

攻擊者為何使用橫向移動？

以下是攻擊者使用橫向移動的一些原因：

更容易規避偵測

攻擊者偏好橫向移動的原因之一，是因為這讓他們能融入正常的網路流量中。藉由使用對他們無效的傳統安全措施，他們會變得更難被偵測到。他們也可以冒充合法使用者，並在不觸發任何警報的情況下長時間運作。

權限提升的機會

談到權限提升時，從較低層級的存取權限開始會容易得多，例如標準使用者帳戶。接著，攻擊者可以尋找並利用新的弱點，讓他們得以提升權限。他們最終可以逐步取得目標管理員層級的存取權，並完全控制網路。

擴大對敏感系統的存取

攻擊者會使用橫向移動，因為他們可以快速接觸高價值資產和關鍵資料。他們可以發掘智慧財產、財務紀錄，並取得關鍵伺服器與基礎架構（例如網域控制站）的存取權。在取得初始入侵點後，他們可以存取敏感系統，並隨時間慢慢擴大存取範圍。

了解弱點的時間

橫向移動讓攻擊者有足夠時間了解網路、使用者及其目標受害者。這讓他們有足夠時間在背景中活動、進行一些偵察，並查看哪些對象可以成為目標、哪些不行。他們可以探測系統、找出零時差漏洞，並花時間對安全解決方案進行逆向工程與劫持。

如何及早偵測橫向移動

如果您想在組織中及早偵測橫向移動，以下是需要留意的事項：

記錄 EDR 和 NDR 訊號來源

對於 EDR 記錄，您需要尋找由遠端連線到其他機器所衍生出的異常程序。您也需要留意濫用 Windows Management Instrumentation 等管理工具來存取非標準端點的情況。若要檢視 NDR 訊號，請分析東西向流量。尋找異常的連接埠使用情況和資料外洩嘗試。

檢查身分識別記錄與異常登入模式

檢查您的驗證記錄，並留意異常的登入時間與地點。如果使用者在其平常工作時間之外登入您的企業環境，那就是危險訊號。您也需要掃描服務帳戶活動，並檢查非人類服務帳戶的登入行為。登入失敗嘗試也是另一個異常徵兆。

對於身分識別記錄，請檢查您的網路中是否突然建立了新的高權限帳戶。如果某位使用者在短時間內登入多個彼此不同的系統，這表示身分識別濫用正在發生。如果您的使用者也在未經標準變更管理流程的情況下獲得提升權限或新的存取權，這同樣非常能說明問題。

圖形分析與 UEBA

您可以使用圖形分析模型來識別異常與橫向移動行為。您可以繪製異常路徑，並建立不同帳戶在遙遠地理位置之間相關時序與關係的模型，藉此找出誤用與憑證遭入侵的指標。這也有助於您整理行為基準，並發現偏差，例如任何帳戶或系統與其先前從未接觸過的其他對象發生互動。

UEBA 也可用於偵測橫向移動。您可以發現異常檔案傳輸、偵測內部威脅，並串聯攻擊時間軸。它也有助於自動化風險評分，並可偵測在較長時間內發生的較慢速攻擊。

偵測挑戰與盲點

您可能面臨的一些偵測挑戰包括：

• 當攻擊者使用內建系統工具來劫持管理員存取權並提升權限時，他們可以利用「living off the land」二進位檔來規避基於簽章的偵測，並掩蓋其惡意活動。
• 他們可以加密您的內部流量，以掩蓋其橫向移動技術。您也可能因過度敏感的安全工具在整體設定上不佳，而觸發大量誤報，進而產生更多雜訊。
• 動態雲端環境可能會產生新的盲點。當您的資源啟動與關閉時，攻擊者可以製造並利用其中的缺口。有些攻擊者也可能在遭入侵帳戶的權限範圍內活動，看起來像是合法行為，而不會讓您起疑。除非您使用進階 UEBA 解決方案來掃描它們，否則您不會知道帳戶何時遭到入侵。

如何防止攻擊者進行橫向移動

以下說明您可以如何防止攻擊者進行橫向移動：

最小權限、身分識別衛生、PAM

首先，對所有使用者帳戶套用最小權限原則。僅授予人員執行其特定工作角色所需的存取權，不多不少。您也應透過移除閒置帳戶、定期稽核權限，以及輪替服務帳戶密碼來清理身分識別管理。PAM 解決方案可協助您控制並監控跨環境的提升存取情況，以防止這類問題。

零信任與微分段

不要信任任何人，並驗證每一個人。著手建立零信任網路安全架構。您需要驗證每一次連線嘗試，並根據身分、裝置健康狀態與情境套用嚴格的存取控制。

微分段將協助您在網路內建立隔離區域，並在區域之間強制執行存取控制。與其擁有一個讓攻擊者可自由漫遊的大型網路，不如建立多個安全隔間。如果攻擊者入侵其中一個區段，若沒有個別驗證，他們就無法自動存取其他區段。

MFA 與憑證強化

多重要素驗證可以防止駭客進一步得逞——即使他們取得了密碼。passwords. 您應全面為所有帳戶部署 MFA，尤其是特權帳戶，而且不應只套用在登入畫面上。

憑證強化包括使用強健且耐用的密碼、每個應用程式使用不同密碼，以及頻繁輪替密碼。自動化密碼輪替表示遭竊憑證只會在有限時間內有效，因為您已設定任何一組憑證可維持有效的時間限制。如果憑證遭竊，頻繁輪替可縮短駭客可利用它們的時間。

縮減攻擊面

您可以透過停用不必要的服務、關閉未使用的連接埠，以及解除安裝您不使用的應用程式來縮減攻擊面。定期修補程式管理將可封堵攻擊者可能利用來在系統間移動的安全缺口。

請在此閱讀 SentinelOne 在 MITRE Engenuity ATT&CK® Evaluation 中的成功表現。

偵測到橫向移動時如何回應

以下是在偵測到橫向移動時應採取的行動與回應方式：

事件遏制步驟

您的首要任務應始終是立即阻止橫向移動。可透過一次性防火牆規則將受感染的網路區段與其餘網路隔離，或將遭入侵的系統從網路中移除。如果您懷疑特定使用者帳戶已遭入侵，應在調查期間立即停用它們。

分割您的網路，並立即關閉從一個網路區段到另一個區段的流量。同時掃描本機系統是否有攻擊跡象，並在任何可疑項目成為問題之前先行隔離。

鑑識與證據蒐集

由於攻擊才剛發生，您也應保全證據。擷取受影響系統記憶體傾印的螢幕截圖、收集反映橫向移動行為的網路記錄，並保存活動時間軸。不要立即關閉系統——您可能會失去僅存在於系統記憶體中的寶貴鑑識證據。

尋找攻擊者如何在系統間移動、使用了哪些憑證，以及部署了哪些工具的指標。這些資訊有助於您了解入侵事件的完整範圍，並防止未來發生類似攻擊。

憑證重設/輪替

一旦您確認存在遭入侵的帳戶，請立即變更這些憑證。同時，您也應更新任何可能透過遭入侵系統而被觸及之目標帳戶的密碼。

服務帳戶和共用憑證需要特別注意，因為它們在事件回應期間經常被忽略。您可以使用自動化憑證輪替工具來加快此流程，並確保沒有任何遺漏。

作業手冊與事件回應演練

事先撰寫好的作業手冊可在偵測到橫向移動時加快您的回應速度。您的作業手冊應包含隔離系統、蒐集證據，以及與不同團隊協調的具體步驟。

在精進橫向移動回應能力時，您也應定期進行桌上推演。這些演練有助於找出程序中的缺口，並訓練您的團隊在壓力下快速反應。您練習得越多，當真正的攻擊發生時，回應就會越快。

橫向移動攻擊有哪些新興趨勢？

談到橫向移動攻擊，以下是新興趨勢：

雲端與混合環境

雲端環境正在為橫向移動攻擊創造新的機會。駭客可利用跨帳戶角色、錯誤設定和帳戶，在各種服務之間進行橫向跳轉，甚至包括地端解決方案。

混合環境在某種程度上也為他們敞開大門——因為這類環境允許更廣泛的存取，因此在雲端與地端基礎架構之間也帶來更多攻擊向量。

以身分為優先的攻擊

身分已成為新的邊界，這也是駭客占上風的原因。他們甚至不再需要入侵網路。只要透過網路釣魚取得密碼，就能使用有效憑證在環境中進行橫向移動。不幸的是，這類橫向移動是以授權存取的名義發生；因此，許多傳統安全系統甚至無法偵測這類入侵。

過去幾年來，外界一直在討論各種精密的憑證竊取手法。攻擊目標包括服務帳戶與非人類身分。駭客利用身分同盟與單一登入功能，在僅入侵一個帳戶後便取得長期存取權限。

供應鏈入侵

供應鏈攻擊讓入侵者能透過與第三方供應商的受信任連線進入您的環境。當遭入侵的第三方合作夥伴或軟體相依項目被攻破時，網路犯罪分子會利用這些關聯，在事後於整個網路中擴散。

這類攻擊更具惡意，因為它們透過受信任的方式進入系統與資料，繞過您企業中的許多安全措施。等到您偵測到橫向移動正在發生時，它其實早已開始。

攻擊規避中的 AI/自動化

自動化指令碼能比任何人類更快穿越網路，並且能在眨眼之間對抗安全措施。

此外，對「living off the land」的依賴也在增加。這表示攻擊者會使用作業系統既有的原生工具，將自己隱藏在正常流量之中。這種自動化形式意味著橫向移動更快，也更不容易被基礎的、以特徵碼為基礎的安全解決方案偵測到。

如何衡量並降低貴組織的風險

能衡量就能控制。以下是最能顯示您在預防與偵測橫向移動方面表現如何的最佳指標：

停留時間與平均偵測/回應時間

停留時間衡量的是攻擊者在特定環境中未被偵測而停留的時間長度。不同組織的平均停留時間仍然以數週甚至數月計算，因此讓攻擊者有充足時間進行橫向跳轉並造成損害。

平均偵測時間 (MTTD) 是指威脅進入您的網路後被發現所需的時間。請依攻擊類型個別關注此數值，例如橫向移動嘗試。平均回應時間 (MTTR) 則計算威脅在被發現後獲得修復與遏制的效率。

目標是遵循 1-10-60 規則：在 1 分鐘內偵測威脅、10 分鐘內分析，並在 60 分鐘內遏制。這些數值可透過使用進階端點偵測、行為分析與自動化回應來提升。

繪製橫向移動路徑

持續繪製攻擊者可能穿越您網路的橫向移動路徑，是識別最可能被利用之高風險路線的好方法。像 Microsoft Defender for Identity 這類產品可以揭露哪些帳戶具有最高的權限提升向量。

找出可存取其他系統的帳戶，或具有不必要管理權限的帳戶。這些情報可用於限制權限，並在攻擊者利用之前切斷其攻擊向量。內建路徑對應也有助於在您的網路發生變更時偵測新興風險。

KPI 與內部安全評分卡

建立評分卡，追蹤您的橫向移動防禦隨時間的變化。關鍵指標包括部署進階端點防護的系統百分比、受 MFA 保護的特權帳戶涵蓋率，以及您已修復的高風險橫向移動向量。

監控營運指標，例如偵測機制產生的誤判，以了解事件回應流程的有效性。這些指標將幫助您衡量哪些方面已有進展，以及哪些方面仍需加強。同時，也要將您的安全態勢視為一種趨勢，而非某個時間點的清單來監控。這有助於您了解隨著環境變化，橫向移動防禦是在改善還是在惡化。

哪些工具有助於阻止橫向移動？

以下工具可協助您阻止橫向移動，方式如下：

EDR、XDR、NDR、SIEM 與 SOAR

您可以結合端點、網路與安全事件資料來捕捉可疑行為。EDR 和 XDR 會標記裝置上的異常程序啟動與憑證竊取。NDR 可發現異常的東西向流量模式。SIEM 讓您集中管理日誌，並對所有訊號執行分析。SOAR 會自動化警示處理，讓您快速關閉惡意工作階段。

身分與特權存取管理

您應對所有帳戶強制執行最小權限原則，並套用強式驗證。每一組高權限憑證都必須透過可記錄使用情況並阻止未授權變更的保管庫進行管理。如果您偵測到突然的權限提升或新的特權帳戶，應立即將其隔離。

自動化與協調平台

將安全工具串聯起來，讓某個系統一旦發現主機遭入侵，指令碼便會自動隔離該機器、重設服務帳戶憑證並輪替權杖。如此一來，攻擊者會在有機會橫向移動之前失去立足點。

欺敵與蜜罐

您可以部署蜜罐或嘗試欺敵戰術。這些方法包括假資產，例如誘餌伺服器、假憑證與虛設資料庫。它們會將入侵者引離您的真實網路。當這些陷阱被觸發時，您就能及早收到橫向移動警告。您將能夠追蹤攻擊者的方法，而不必讓關鍵系統承受風險。

真實案例：近期入侵事件如何利用橫向移動

我們沒有令人振奮的消息要告訴您，但這就是全球正在發生的情況。以下是一些近期因橫向移動攻擊而造成入侵的真實案例：

• 一種新的 Active Directory 橫向移動技術 已繞過傳統驗證並外洩資料。它鎖定 Microsoft Entra ID 環境，而相關方法最近在 Black Hat USA 2025 上揭露。Dirk-Jan Mollema 進行了這場簡報，並揭示攻擊者如何操弄單一登入 (SSO) 設定，為所有使用者偽造 Kerberos 服務票證。
• AWS 預設 IAM 角色 也被發現會助長橫向移動與跨服務利用。這些角色通常是在設定期間被建議並建立，授予過於寬泛的權限，甚至包含完整的 S3 存取權。它們可能打破服務之間的隔離邊界，甚至執行管理員操作。
• Sysmon 研究人員 重新檢視了橫向移動偵測技術。他們在 MS Windows 生態系中識別出橫向移動，並在功能性設定檔中發現許多 LM 變體。他們進行實驗、套用自訂規則，並觀察日誌如何被收集。

SentinelOne 如何防護橫向移動

SentinelOne 可透過多種方式保護您的組織免受橫向移動攻擊。如果您正在尋找端點防護，那麼 Singularity™ Endpoint 能滿足您的需求。它可保護您的端點、身分，並處理孤立的攻擊面。您可以防禦機器速度的攻擊，也能防範惡意軟體。它可透過分析異常行為並即時識別惡意模式的行為式與靜態 AI 模型來偵測勒索軟體，無需人工介入。它還可保護行動裝置免受零時差惡意軟體、網路釣魚與中間人 (MITM) 攻擊。

談到身分防護，您可以依賴 Singularity™ Identity。它將為您的整體身分基礎架構攻擊面提供即時防禦。您可以防禦 Active Directory 與 Entra ID 橫向移動攻擊。它可阻止攻擊進程、找出並誤導隱蔽行動者。您也將從攻擊嘗試中獲得情報與洞察，以防止重複遭到入侵。

它將強制執行零信任政策，並在存取管理控制遭違反時立即向您發出警示。您也將獲得適用於任何執行任何作業系統之裝置的全面安全涵蓋，包括嵌入式系統、IoT 與 OT。

當偵測到威脅時，SentinelOne 的 Storyline 功能會自動追蹤攻擊鏈。它會將惡意活動連結到其根本原因，並提供視覺化鑑識地圖，以利有效的事件回應。談到保護您的雲端工作負載時，您可以使用 Singularity™ Cloud Workload Security。這是一個即時雲端工作負載保護平台，可協助您即時對抗勒索軟體、零時差漏洞及其他執行階段威脅。它可透過 AI 驅動的偵測與自動化回應，保護關鍵雲端工作負載，包括 VM、容器與 CaaS。SentinelOne 的 CWPP 支援 Kubernetes、實體伺服器與無伺服器環境。它也能保護公有、私有、混合式及地端環境。

如果您正在尋找整體性的安全解決方案，將所有最佳安全功能整合在一起，請試試 SentinelOne Singularity™ Cloud Security。SentinelOne 的 AI 驅動 CNAPP 可讓您對環境擁有 Deep Visibility®。它提供對 AI 驅動攻擊的主動防禦、將安全性進一步左移的能力，以及新一代調查與回應。

SentinelOne 的解決方案也提供自動化修復與回復功能。它們可以自動將受損檔案與系統還原至遭受攻擊前的狀態。您可以在任何時間點撤銷攻擊者所做的任何變更。

結論

現在您已了解不同類型的橫向移動攻擊，以及對手用來繞過防禦並進入系統與網路的常見橫向移動技術。您可以開始著手規劃雲端與端點安全策略，以確保自己不會受到這些威脅影響。如果您需要協助防範橫向移動流程與工作流程，請聯絡 SentinelOne 團隊。我們可以協助您保護組織安全。