ほとんどの侵害は、ありふれたデバイスから始まります。たとえば、フィッシングメールを開いたノートPC、使い回しのパスワードを使っているアカウント、あるいはオフィスのWi-Fiに接続した未知のデバイスです。その最初の足がかりが深刻なインシデントに発展するかどうかを決めるのは、攻撃者が次にどこまで到達できるかです。この次の段階は、ラテラルムーブメントと呼ばれます。
多くの組織では、攻撃者が広範囲に到達できてしまいます。312の企業環境におけるアクティビティに基づくZero Networks' 2026 Lateral Movement Exposure Report では、企業サーバーの80%がネットワーク内部のどこからでも到達可能であることが明らかになりました。RDPやSSHなど、ITチームが日常的に使用しているリモートアクセスプロトコルは、盗まれた認証情報を持つ攻撃者にとっても同じように有効です。
このガイドでは、ラテラルムーブメント攻撃とは何か、攻撃者がどのように1つのシステムから次のシステムへと移動するのか、主にどのような手法に依存しているのか、そして実際の攻撃がどのように展開されたのかを解説します。また、ラテラルムーブメントをどのように検知するか、そして攻撃者がいったん内部に侵入した後に被害の拡大をどこまで防げるかを左右する制御策についても取り上げます。
ラテラルムーブメント攻撃とは何ですか？
ラテラルムーブメント攻撃とは、攻撃者が最初のアクセスを獲得した後、最初に侵害したデバイスから他のシステム、アカウント、ネットワーク内の別の領域へと移動するために使う一連の手法を指します。攻撃者は通常、盗まれた資格情報や正規の管理ツールを利用しながら、ドメインコントローラー、ファイルサーバー、機密データなどの価値の高い標的を目指して活動します。
攻撃者の行動に関する広く利用されているナレッジベースであるMITRE ATT&CKでは、ラテラルムーブメントを戦術TA0008として分類し、その下に9つの手法をまとめています。その多くは、RDP、SMB、SSH、WinRMなど、ネットワーク上ですでに使われているプロトコルを悪用します。ITチームは同じプロトコルを日常的に使用しているため、ラテラルムーブメントは通常の管理作業のように見えることがよくあります。
ラテラルムーブメントは特権昇格と混同されがちで、攻撃者は通常この2つを組み合わせて使います。ラテラルムーブメントとは、新たなシステムに到達することです。特権昇格とは、攻撃者がすでに制御しているシステム上で、より高いアクセス許可を取得することを意味します。典型的な攻撃ではこの2つが交互に行われます。攻撃者は1台のホストで権限を昇格させてより強力な資格情報を収集し、その後、その資格情報を使って次のシステムに到達します。
攻撃者がラテラルムーブメントに依存する理由
攻撃者が最初に侵害するデバイスは、狙っている本命であることはほとんどありません。ラテラルムーブメントによって、攻撃者はその侵入口から他のあらゆるものへ到達する経路を得ます。
重要なシステムへの到達。マーケティング部門でフィッシング被害に遭ったノートPCが問題なのは、ドメインコントローラー、ファイルサーバー、財務アプリケーション、バックアップシステムなどに接続できる可能性があるためです。
より強力な資格情報を収集する。新たな各ホストには、管理者やサービスアカウントを含む他のユーザーのキャッシュされたパスワード、ハッシュ、またはチケットが保存されている可能性があります。
永続性を確立する。複数のマシンに足がかりを築くことで、IT部門が最初に感染したデバイスをクリーンアップした後でも、攻撃者はその環境内にとどまり続けることができます。
より大きな成果に向けた基盤づくり。ランサムウェアの実行者は、何かを暗号化する前にできるだけ多くのシステムへ拡散します。一方、データ窃取キャンペーンは、数週間から数か月かけてひそかに情報を収集します。
溶け込むこと。通常の管理者プロトコルと有効なアカウントにまたがる活動は、自ら存在を知らせるマルウェアよりもアラートの発生が少なくなります。
攻撃者が最初の侵害後にどこまで移動できるかによって、インシデントがどれほど深刻化するかが大きく決まります。
ラテラルムーブメント攻撃の仕組み
ラテラルムーブメントは、認識しやすいサイクルに従って進みます。攻撃者は新しいシステムに到達するたびに、目的の場所にたどり着くまで中間段階を繰り返します。
ステージ1：初期アクセス
攻撃は足がかりを得ることから始まります。一般的な侵入経路には、フィッシングメール、盗まれたまたは使い回されたパスワード、公開されたリモートアクセスサービス、またはネットワークに接続された未承認のデバイスなどがあります。
この時点で、攻撃者は通常、権限が限られた価値の低いシステムを1つ制御しています。
ステージ2：内部偵察
次に、攻撃者は内部から環境を把握します。侵害されたデバイスからアクセスできる他のホスト、ファイル共有、ユーザーアカウントと管理者アカウント、開いているポートを探します。
攻撃者は、オペレーティングシステムにすでに組み込まれているツールを使ってこれを行うことがよくあり、その結果、セキュリティツールが検知対象としてフラグを立てる新しいファイルやプロセスが少なくなります。
ステージ3：資格情報へのアクセス
さらに先へ進むには、攻撃者は資格情報を必要とします。攻撃者は、侵害したシステムのメモリからそれらを収集したり、保存済みまたはキャッシュされたパスワードを抜き取ったり、ユーザーが入力する資格情報を盗み取ったりします。
使い回しや共有されたパスワードがあると、この段階ははるかに容易になります。1つの盗まれた秘密情報だけで、多くのシステムのロックを解除できてしまうからです。
ステージ4：次のシステムへの移動
資格情報を入手すると、攻撃者は多くの場合、標準的な管理者向けプロトコルを介して別のホストに認証します。資格情報だけでは不十分な場合、代わりに標的上の未パッチのサービスを悪用することがあります。
ネットワークの観点では、この手順は通常のログインのように見える場合があります。
ステージ5：目的への到達
攻撃者は価値の高いシステムに到達すると、自らの目的に沿って行動します。それは、機密データをコピーすること、多数のホストに一度にランサムウェアを展開すること、あるいは後のために気付かれないようアクセスを維持することを意味する場合があります。
攻撃者は、調査をより困難にするために、途中でログを消去したりツールを削除したりすることがよくあります。
ステージ2から4は新しいホストごとに繰り返されるため、1つのアカウントが侵害されるだけで、環境全体へのアクセスにつながる可能性があります。
一般的なラテラルムーブメントの手法
MITRE ATT&CK は、攻撃者がシステム間を移動するために使う具体的な手法を追跡しています。そのうちのいくつかは実際の侵害の大半で見られ、それぞれ異なる一連の制御によって制限されます。
リモートサービス（T1021）
リモートサービスでは、攻撃者は盗んだ資格情報を使って、RDP、SMBやWindows admin shares、SSH、WinRMなどの通常の管理者向けプロトコル経由で別のホストにログインします。PsExecやPowerShell remotingのようなツールを使えばこれを素早く行え、トラフィックは日常的なIT業務のように見えます。
この機会は非常に大きいです。Zero Networksの調査では、企業サーバーの87%が、広範な内部ソースからの受信RDPまたはSSHを受け入れており、78%がSMBまたはWinRM経由で到達可能であることがわかりました。
Pass the hash と pass the ticket（T1550）
これらの手法により、攻撃者はパスワードの代わりに盗まれた認証情報を使って認証できます。Pass the hash は NTLM パスワードハッシュを再利用し、pass the ticket は Kerberos チケットを再利用します。Mimikatz のようなツールは、この情報を侵害されたマシンのメモリから直接引き出します。
レガシー認証によって、これらの攻撃は依然として有効なままです。Zero Networksによると、社内認証の43.2%は今でもNTLMで実行されています。
リモートサービスの悪用（T1210）
有効な認証情報が利用できない場合、攻撃者は別の内部ホストで実行中のサービスの脆弱性を悪用できます。内部システムはインターネットに公開されているシステムよりもパッチ適用が遅いことが多く、その結果、既知の脆弱性がより長く放置されます。
リモートサービスのセッションハイジャック（T1563）
セッションハイジャックでは、攻撃者は正規ユーザーがすでに開いている既存のSSHまたはRDPセッションを乗っ取ります。そのセッションはすでに認証済みであるため、攻撃者はそのユーザーの資格情報を必要とせずに、そのユーザーのアクセス権を引き継ぎます。
横展開のためのツール転送（T1570）
攻撃者が新しいホストに到達できるようになると、マルウェア、スクリプト、管理ユーティリティなど、必要なツールをそこにコピーします。これは通常、ファイル共有に使われるのと同じチャネルであるSMB経由で発生します。
内部スピアフィッシング（T1534）
正規のメールボックスを支配した攻撃者は、組織内から同僚にフィッシングを仕掛けることができます。実在する同僚のアカウントから送られるメッセージは、外部からのメールよりもはるかに信頼されやすく、そのため、さらに多くの認証情報を集める効果的な手段になります。
以下の表は、各手法の仕組みと、それを制限するコントロールをまとめたものです。
手法（MITRE ID） | 攻撃者によるその利用方法 | それを制限するもの |
リモートサービス（T1021） | 盗まれた資格情報を使って、RDP、SMB、SSH、またはWinRM経由で他のホストにログインする | ネットワークセグメンテーション、最小権限のネットワークアクセス、管理者アクセスでのMFA、管理者ホストのみに制限された管理者プロトコル |
Pass the hash と pass the ticket（T1550） | パスワードなしで、盗まれたNTLMハッシュまたはKerberosチケットを再利用する | メモリ内の資格情報の保護、NTLMの使用削減、特権アカウントのサインイン先の制限、エンドポイント検知 |
リモートサービスの悪用（T1210） | 別のホスト上の未修正のサービスを悪用する | パッチ適用に加え、脆弱なサービスにユーザーデバイスから到達できないようにするためのセグメンテーション |
リモートサービスのセッションハイジャック（T1563） | 既存のSSHまたはRDPセッションを乗っ取る | セッションのタイムアウト、SSHキー管理、特権セッションの監視 |
横展開のためのツール転送（T1570） | 通常はSMB経由で、マルウェアやツールを次のホストにコピーする | エンドポイント検知、ワークステーション間のSMBのブロック |
内部スピアフィッシング（T1534） | 侵害された社内メールボックスを使って同僚にフィッシングを仕掛ける | メールセキュリティ、ユーザー意識向上、フィッシング耐性のある多要素認証 |
もう1つ注意すべき経路があります。これは、フィッシングのステップを完全に飛ばしてしまうものです。共有のWi-Fiパスワードを知っている任意のデバイス、または開放された有線ポートに接続された任意のデバイスをネットワークが受け入れる場合、そのパスワードや物理的アクセスを持つ攻撃者は、アカウントを1つも侵害していなくても、内部ネットワークから開始できてしまいます。どのデバイスがネットワークに参加できるか、そしてどこに接続されるかを制御することで、その経路を塞ぐことができます。
ラテラルムーブメント攻撃の例
上記の手法は、十分に文書化されたインシデントで繰り返し確認されています。この3つの例は、ラテラルムーブメントによって単一の侵入ポイントがはるかに大規模な侵害へと発展したことを示しています。
NotPetya（2017年）
NotPetya は、改変版の Mimikatz を使ってメモリから資格情報を盗み出し、その後 PsExec と WMI を使って他のマシン上で自身を実行することでネットワーク内に拡散しました。これについては、CISA のこのマルウェアに関する警告 と Mandiant の分析 で説明されています。また、パッチ未適用のホストに対して EternalBlue SMB エクスプロイトも使用しました。
認証情報ベースの手法は有効なログインに依存していたため、NotPetya は EternalBlue に対して完全にパッチ適用済みのマシンにも感染できました。共有され再利用された管理者認証情報によって、接続されたネットワーク全体にすばやく拡散できました。
SolarWindsのサプライチェーン侵害（2020年）
CISA勧告 AA20-352Aによると、SolarWindsキャンペーンでは、攻撃者はトロイの木馬化されたSolarWinds Orion softwareのアップデートを通じて侵入しました。侵入後、CISAの報告によると、攻撃者はWMIとリモートのスケジュールされたタスクを使用して横方向に移動しました。
攻撃者はさらにActive Directoryで権限昇格を行い、認証トークンを偽造しました。これにより、Microsoft 365のようなクラウド環境へオンプレミスネットワークから移動することが可能になりました。
Akiraランサムウェア（2023年～現在）
CISA advisory AA24-109A では、Akiraの関連組織がMFAのないVPNを介して初期アクセスを取得し、その後MimikatzやLaZagneなどのツールを使用して認証情報を収集したことが説明されています。ラテラルムーブメントを行う前に、検知を避けるためにセキュリティソフトウェアを無効化するのが一般的です。
この勧告では、Akiraの攻撃者が正規のリモートアクセスツールを使って潜伏を維持し、正規の動作に紛れ込むことも指摘しており、これは現代のランサムウェアグループに共通するパターンです。
いずれのケースでも、被害の規模は攻撃者がどこまで移動できたか、そしてどれだけ多くの認証情報を再利用できたかに応じて拡大しました。
ラテラルムーブメントを検出する方法
ラテラルムーブメントは、有効なアカウントと通常の管理ツールを使うため発見が難しい一方で、日常的なアクティビティとは異なる目立つパターンを残します。一般的な兆候には、次のようなものがあります。
1つのアカウントが短時間のうちに多数のホストに認証している。一般ユーザーは通常、少数の予測しやすいシステムセットにサインインします。
ワークステーション間の管理プロトコルトラフィック。従業員のノートPC 2台間でのRDP、SMB、または WinRM 接続に、正当な理由があることはほとんどありません。
想定外のマシンで実行されている管理ツール。管理者以外のエンドポイントから起動されたPsExec、PowerShell remoting、またはリモートWMIコマンドは、詳しく確認する必要があります。
ユーザーの通常のパターンから外れたログイン。通常とは異なる時間帯、見慣れないデバイス、またはユーザーの役割外のシステムへのアクセスに注意してください。
認証の失敗が急増する。サーバー、Wi-Fi、またはVPN全体で繰り返し失敗が発生している場合、パスワードの推測や資格情報のテストが行われている可能性があります。
ネットワーク上の新規または未知のデバイス。機密性の高いセグメント上で誰も認識していないデバイスが見つかった場合は、すぐに調査する価値があります。
これらのシグナルは複数のソースから得られるため、可視性を確保するにはそれらを統合する必要があります。エンドポイントの検知と対応（EDR）ツールでは、各ホスト上のプロセスと資格情報のアクティビティを確認できます。Windows認証ログでは、誰がどこにサインインしたかを確認できます。ネットワーク監視では、どのシステム同士が通信しているかを確認できます。RADIUSレコードなどのネットワーク認証ログでは、どのユーザーとデバイスがWi-Fi、VPN、または有線ネットワークにいつ参加したかを確認できます。
ラテラルムーブメントを防ぐ方法
単一の対策だけで、あらゆるラテラルムーブメントの手法を防ぐことはできません。最も効果的なアプローチは、2つの目標を組み合わせることです。つまり、攻撃者が1台のデバイスから到達できる範囲を制限すること、そして盗み取って再利用できる認証情報を制限することです。
1. 役割と信頼レベルごとにネットワークを分離する
セグメンテーションでは、ネットワークをゾーンに分割し、ユーザー、ゲスト、IoTデバイス、サーバーをそれぞれ別のセグメントに配置するとともに、その間の経路を管理します。ゲストまたはBYODセグメント上で侵害されたデバイスから、財務システムやドメインコントローラーへの経路があってはなりません。
セグメンテーションは、配置を手作業で維持するのではなく、アイデンティティにひも付けると最も効果的です。ネットワークセグメンテーションに関するガイドでは、その計画方法と適用方法を紹介しています。
2. すべてのデバイスがネットワークに参加する前に認証する
Wi-Fiと有線ネットワークで802.1Xを使用し、すべてのユーザーまたはデバイスがアクセスする前に本人確認を行えるようにします。ユーザー単位またはデバイス単位の資格情報により、物理的に近くにいる人や漏えいしたパスワードを入手した人なら誰でも使えてしまう共有パスワードを置き換えられます。
これにより、攻撃者が単にデバイスをネットワークに接続し、そこを起点に移動し始める経路を塞ぐことができます。
3. 可能な場合は、使い回し可能なパスワードを証明書に置き換える
EAP-TLS などの証明書ベースのネットワーク認証では、アクセスが管理対象デバイスにインストールされた証明書にひも付けられます。攻撃者がフィッシングしたり、推測したり、収集して別のシステムで再利用したりできるネットワークパスワードは存在しません。
4. アカウントに最小権限の原則を徹底する
管理者には管理作業専用のアカウントを分けて付与し、権限アカウントがサインインできる場所を制限しましょう。管理者アクセスに MFA を追加し、盗まれたパスワードだけでは価値の高いシステムを突破できないようにしましょう。
日常的に使うワークステーションにキャッシュされる特権資格情報が少ないほど、攻撃者が credential access 段階で収集できるものも少なくなります。
5. 管理者プロトコルを制限する
RDP、SMB、WinRM、SSHは、指定された管理者用ワークステーションなど、それらを必要とするホストからのみ許可します。これらのプロトコルにおけるワークステーション間通信をブロックすることで、リモートサービスや横方向ツール転送に使われる経路の多くを排除できます。
6. 内部サービスに一貫してパッチを適用する
社内システムも、インターネットに公開されているシステムと同じようにパッチ適用へ注意を払う必要があります。セグメンテーションと組み合わせることで、適時のパッチ適用により脆弱なサービスを攻撃者の手の届かない状態に保ち、リモートサービスの悪用を抑えられます。
7. 認証を監視し、すばやく対応する
不審なパターンを1か所で可視化できるように、エンドポイント、サーバー、ネットワーク認証のログを一元化します。その可視性をEDRと検証済みの対応計画と組み合わせることで、侵害されたアカウントやデバイスを、攻撃者がさらに先へ進む前に隔離できます。
Foxpassがネットワークエッジでラテラルムーブメントを制限する方法
SplashtopのFoxpassは、クラウドホスト型のRADIUS、PKI、LDAPサービスを提供し、ネットワークに接続できる対象とその条件を制御します。これにより、ITチームはWi-Fi、VPN、有線接続のすべてに本人確認を適用でき、侵害されたデバイスから攻撃者がどこまで到達できるかを制限できます。
1. アイデンティティベースのネットワークアクセスとセグメンテーション
Foxpass Cloud RADIUS は、各ユーザーまたはデバイスがネットワークに参加する前に認証を行い、その後 Google Workspace、Okta、Microsoft Entra ID、OneLogin、または LDAP のディレクトリグループメンバーシップに基づいて VLAN に割り当てます。ゲストまたは BYOD デバイスは制限されたセグメントに入り、財務部門とエンジニアリング部門のデバイスはそれぞれ専用のセグメントに入ります。
それらのデバイスのいずれかが侵害された場合、攻撃者はネットワークの他の部分への経路が制限されたセグメントから攻撃を開始することになります。Foxpass による動的な ID ベースのセグメンテーションの詳細はこちら。
2. パスワードレスの証明書ベース認証
Foxpass Cloud PKI は、MDM integrations and SCEP を通じてデバイスに証明書を発行するため、管理対象デバイスは EAP-TLS で接続できます。証明書ベースの認証では、盗んで再利用できる共有Wi-Fiパスワードはありません。
すべてのデバイスをすぐに証明書へ移行する準備ができていないチーム向けに、Foxpass は個別のユーザー資格情報を使った EAP-TTLS にも対応しており、単一の共有パスワードをユーザーごとのアクセスに置き換えることができます。
3. ディレクトリに連動するアクセス
ネットワークアクセスはディレクトリのグループメンバーシップに紐づいているため、ID プロバイダーでの変更はネットワークにも反映されます。誰かが組織を離れたり役割を変更したりすると、その人のネットワークアクセスとセグメント配置もそれに応じて変更されるため、攻撃者がよく狙う古い資格情報を無効化できます。
Foxpassは、VLANとポリシーごとのアクセス試行もログに記録します。これらの記録には、どのユーザーとデバイスが、いつ、どのセグメントに接続したかが示されており、前述の検出作業を支えます。
Foxpassは、誰がネットワークに接続できるか、そして接続後にどこに到達できるかを制御します。同じセグメント上にすでに存在するデバイス間のトラフィックは検査しないため、EDR、最小権限のアカウント制御、および上記のその他の実践と併用するのが最も効果的です。
攻撃者に見つかる前に、被害範囲を最小限に抑えましょう
ラテラルムーブメントは、1台の侵害されたデバイスを組織全体に及ぶインシデントへと変え、攻撃者がどこまで到達できるかによって、そのインシデントがどこまで拡大するかが決まります。ネットワークに参加できるデバイス、それぞれの接続先、そして再利用できる認証情報を制限することで、攻撃者が移動できる先を大幅に減らせます。
Foxpassを使えば、RADIUSやPKIサーバーを社内で運用しなくても、ITチームはすべてのネットワーク接続に対してIDと証明書のチェックを適用できます。無料トライアルを始めて、Foxpassがどのようにネットワークに適合するかをご確認ください。
