大多數資安外洩事件都始於一台看似普通的裝置：一台開啟了網路釣魚電子郵件的筆記型電腦、一個重複使用密碼的帳戶，或是一台加入辦公室 Wi-Fi 的未知裝置。真正讓最初的立足點演變成嚴重事件的關鍵，在於攻擊者接下來還能接觸到什麼。下一步就稱為橫向移動。
對許多組織來說，攻擊者可能觸及大量資源。Zero Networks 的 2026 橫向移動暴露報告根據 312 個企業環境中的活動發現，80% 的企業伺服器可從網路內部的任何位置連接。IT 團隊每天使用的遠端存取通訊協定，例如 RDP 和 SSH，對持有遭竊認證的攻擊者同樣有效。
本指南將說明什麼是橫向移動攻擊、攻擊者如何從一個系統轉移到下一個系統、他們最常依賴的技術，以及真實攻擊是如何發生的。其中也涵蓋如何偵測橫向移動，以及一旦攻擊者已經入侵時，能限制其進一步擴大存取範圍的控制措施。
什麼是橫向移動攻擊？
橫向移動攻擊是指攻擊者在取得初始存取權後，從第一個遭入侵的裝置移動到網路中的其他系統、帳號及其他部分所使用的一系列技術。攻擊者通常仰賴遭竊的認證和合法的管理工具，逐步朝網域控制站、檔案伺服器及敏感資料等高價值目標行動。
MITRE ATT&CK 是廣泛使用的攻擊者行為知識庫，將橫向移動列為 TA0008 戰術，並將九種技術歸類在其中。其中大多數會濫用網路上已在執行的通訊協定，包括 RDP、SMB、SSH 和 WinRM。由於 IT 團隊每天都會使用相同的通訊協定，橫向移動往往看起來像是例行的管理活動。
橫向移動經常與權限提升混淆，而攻擊者通常會將兩者結合使用。橫向移動是指入侵新的系統。權限提升是指在攻擊者已經控制的系統上取得更高的權限。典型的攻擊會在兩者之間交替進行：攻擊者先在一台主機上提升權限以蒐集更高層級的認證，接著再利用這些認證入侵下一台主機。
為什麼攻擊者仰賴橫向移動
攻擊者最先入侵的裝置，通常不是他們真正想要的目標。橫向移動讓他們能從這個起點一路深入到其他所有目標：
觸及高價值系統。行銷部門中一台遭網路釣魚入侵的筆電之所以重要，在於它能連接到哪些系統，例如網域控制站、檔案伺服器、財務應用程式和備份系統。
收集更強大的認證。每個新的主機都可能儲存其他使用者的快取密碼、雜湊或票證，包括管理員和服務帳戶。
建立持續存取能力。在多台機器上建立立足點，可讓攻擊者即使在 IT 清除第一台受感染裝置後，仍能留在環境中。
為更大的回報做好準備。勒索軟體操作者會先盡可能擴散到更多系統，再開始加密任何內容；而資料竊取活動則會在數週或數月內悄悄收集資訊。
融入其中。分散在一般管理員通訊協定和有效帳戶上的活動，比起會自己暴露行蹤的惡意軟體，更不容易觸發警示。
攻擊者在首次入侵後能夠進一步橫向移動多遠，往往大幅決定事件會演變得多嚴重。
橫向移動攻擊如何運作
橫向移動會遵循一個可辨識的循環。每當攻擊者到達新的系統，就會重複中間幾個階段，直到抵達想去的目標為止。
第 1 階段：初始存取
攻擊會先從取得立足點開始。常見的入侵點包括網路釣魚電子郵件、遭竊或重複使用的密碼、暴露在外的遠端存取服務，或連接到網路的未授權裝置。
在這個階段，攻擊者通常只控制一個價值較低且權限有限的系統。
第 2 階段：內部偵察
接著，攻擊者會從內部繪製環境地圖。他們會尋找其他主機、檔案共用、使用者與管理員帳戶，以及可從遭入侵裝置連接到的開放連接埠。
攻擊者常會利用作業系統內建的工具來這麼做，讓安全工具更難以標記出新增的檔案或處理程序。
第 3 階段：認證存取
為了進一步移動，攻擊者需要認證。他們會從遭入侵系統的記憶體中收集認證、擷取已儲存或快取的密碼，或攔截使用者輸入的認證。
共用與重複使用的密碼會讓這個階段容易得多，因為一個遭竊的祕密資訊就能解鎖許多系統。
第 4 階段：移動到下一個系統
取得認證後，攻擊者會驗證並連接到另一台主機，通常是透過標準的管理員通訊協定。若認證不足以達成目的，他們也可能改為利用目標上尚未修補的服務。
從網路的角度來看，這一步可能看起來就像一次普通的登入。
第 5 階段：達成目標
一旦攻擊者進入有價值的系統，就會開始達成他們的目的。這可能意味著複製敏感資料、一次在多台主機上部署勒索軟體，或是不動聲色地維持存取權限，以便日後再次利用。
攻擊者經常會一路清除記錄檔或移除工具，讓調查更加困難。
第 2 到第 4 階段會在每個新主機上重複發生，這就是為什麼一個遭入侵的帳戶可能演變成對整個環境的存取權。
常見的橫向移動技術
MITRE ATT&CK 追蹤攻擊者用來在系統之間移動的具體方法。其中有少數幾種會出現在大多數真實世界的入侵事件中，而每一種都受到不同控制措施的限制。
遠端服務（T1021）
透過遠端服務，攻擊者會使用竊取的認證，透過一般管理通訊協定登入另一台主機，例如 RDP、SMB 和 Windows admin shares、SSH 或 WinRM。像 PsExec 和 PowerShell remoting 這類工具可讓這個過程快速完成，而且這些流量看起來就像日常 IT 工作。
這個機會很大。Zero Networks 發現，87% 的企業伺服器接受來自廣泛內部來源的傳入 RDP 或 SSH 連接，且78% 可透過 SMB 或 WinRM 存取。
Pass the hash 與 pass the ticket（T1550）
這些技術讓攻擊者可以使用遭竊的驗證資料進行驗證，而不是使用密碼。Pass the hash 會重複利用 NTLM 密碼雜湊，而 pass the ticket 則會重複利用 Kerberos 票證。像 Mimikatz 這類工具會直接從遭入侵機器的記憶體中擷取這些資料。
舊式驗證讓這些攻擊持續可行。Zero Networks 指出，仍有 43.2% 的內部驗證在 NTLM 上執行。
利用遠端服務（T1210）
當無法取得有效認證時，攻擊者可利用在另一台內部主機上執行之服務中的漏洞。內部系統的修補速度通常比面向網際網路的系統更慢，讓已知漏洞暴露更久。
遠端服務連線劫持（T1563）
在連線劫持中，攻擊者會接管合法使用者已開啟的現有 SSH 或 RDP 連線。由於該連線已完成驗證，攻擊者無須取得該使用者的認證，即可繼承其存取權限。
橫向工具傳輸（T1570）
一旦攻擊者能夠到達新的主機，他們就會複製所需工具過去，例如惡意軟體、指令碼或管理員公用程式。這通常透過 SMB 進行，也就是用於檔案分享的同一個通道。
內部魚叉式網路釣魚（T1534）
控制合法信箱的攻擊者可以在組織內部對同事發動網路釣魚攻擊。來自真實同事帳戶的訊息，比外部電子郵件更具說服力，因此這是蒐集更多認證資訊的有效方式。
下表彙整了各種技術的運作方式，以及哪些控制措施可限制它。
手法（MITRE ID） | 攻擊者如何利用它 | 哪些因素會限制它 |
遠端服務（T1021） | 使用竊取的認證，透過 RDP、SMB、SSH 或 WinRM 登入其他主機 | 網路分段、最低權限網路存取、管理員存取採用 MFA、將管理通訊協定限制在管理主機上 |
Pass the hash 與 pass the ticket（T1550） | 無須密碼即可重複使用遭竊的 NTLM 雜湊或 Kerberos 票證 | 保護記憶體中的認證、減少使用 NTLM、限制特權帳戶可登入的位置，以及端點偵測 |
利用遠端服務（T1210） | 利用另一台主機上未修補的服務漏洞 | 修補程式管理，加上網路分段，讓弱點服務無法從使用者裝置存取 |
遠端服務連線劫持（T1563） | 接管現有的 SSH 或 RDP 連線 | 連線逾時、SSH 金鑰管理、特權連線監控 |
橫向工具傳輸（T1570） | 將惡意軟體或工具複製到下一個主機，通常是透過 SMB | 端點偵測、封鎖工作站對工作站的 SMB |
內部魚叉式網路釣魚（T1534） | 從遭入侵的內部信箱對同事發動網路釣魚 | 電子郵件安全、使用者意識、防釣魚雙重驗證 |
還有另一條值得注意的路徑，因為它完全跳過了網路釣魚這一步。如果網路接受任何知道共用 Wi-Fi 密碼的裝置，或任何插入開放有線連接埠的裝置，那麼只要握有該密碼或具備實體存取能力，攻擊者就能直接從內部網路開始行動，完全不需要入侵任何帳戶。控管哪些裝置可以加入網路，以及它們會被導向何處，就能封堵這條路徑。
橫向移動攻擊範例
上述技術一再出現在有充分文件記錄的事件中。這三個例子說明了橫向移動如何將單一入侵點擴大成更大規模的入侵。
NotPetya（2017）
如 CISA 對此惡意軟體的警示 與 Mandiant 的分析 所述，NotPetya 透過修改版的 Mimikatz 從記憶體中竊取認證，接著使用 PsExec 和 WMI 在其他機器上執行自身，藉此在網路內部擴散。它也利用 EternalBlue SMB 漏洞攻擊未修補的主機。
由於以認證為基礎的方法仰賴有效登入，NotPetya 也能感染那些已完整修補 EternalBlue 漏洞的機器。共用與重複使用的管理員認證，讓它得以在已連接的網路間快速擴散。
SolarWinds 供應鏈攻擊事件（2020 年）
根據 CISA 公告 AA20-352A，在 SolarWinds 事件中，攻擊者是透過遭植入木馬的 SolarWinds Orion 軟體更新入侵。一旦進入內部，CISA 指出，他們使用 WMI 和遠端排程工作進行橫向移動。
攻擊者還在 Active Directory 中提升了權限，並偽造了驗證權杖，使他們得以從地端網路橫向移動到雲端環境，例如 Microsoft 365。
Akira 勒索軟體（2023 年至今）
CISA 公告 AA24-109A描述了 Akira 關聯組織如何透過未啟用 MFA 的 VPN 取得初始存取權，接著再利用 Mimikatz 和 LaZagne 等工具蒐集認證。在橫向移動之前，他們通常會停用安全軟體以避免遭到偵測。
該安全公告也指出，Akira 行動者會使用合法的遠端存取工具來維持持續存取並融入正常活動，這是現代勒索軟體集團常見的模式。
在每種情況下，損害程度都會隨著攻擊者能移動多遠，以及能重複利用多少認證而擴大。
如何偵測橫向移動
橫向移動難以察覺，因為它會使用有效帳號和一般管理工具，但仍會留下不同於日常活動的異常模式。常見跡象包括：
單一帳戶在短時間內驗證到多個主機。一般使用者通常只會登入少數幾個可預期的系統。
工作站之間的管理員通訊協定流量。兩台員工筆記型電腦之間的 RDP、SMB 或 WinRM 連接，很少有正當理由。
管理工具在非預期的機器上執行。若從非管理端點啟動 PsExec、PowerShell remoting 或遠端 WMI 命令，就值得進一步仔細檢查。
偏離使用者正常模式的登入。留意是否在異常時段、透過陌生裝置登入，或存取超出使用者角色範圍的系統。
驗證失敗次數激增。伺服器、Wi-Fi 或 VPN 上反覆發生失敗，可能表示有人在猜測密碼或測試認證。
網路上的新裝置或未知裝置。若敏感網段中出現沒人認得的裝置，就值得立即調查。
這些訊號來自多個來源，因此要具備可視性，必須先將它們整合起來。端點偵測與回應（EDR）工具會顯示每個主機上的程序與認證活動。Windows 驗證記錄會顯示誰在哪裡登入。網路監控可顯示哪些系統正在彼此通訊。網路驗證記錄（例如 RADIUS 記錄）可顯示哪些使用者和裝置加入了 Wi‑Fi、VPN 或有線網路，以及加入時間。
如何防止橫向移動
沒有任何單一控制措施能阻止所有橫向移動技術。最有效的方法是同時達成兩個目標：限制攻擊者從任何單一裝置可觸及的範圍，並限制他們可竊取及重複使用的認證。
1. 依角色與信任層級劃分網路
分段會將網路劃分為多個區域，讓使用者、訪客、IoT 裝置和伺服器位於各自獨立的區段，彼此之間的路由則受到控管。位於訪客或 BYOD 區段中的受感染裝置，不應有任何路徑可通往財務系統或網域控制站。
當區隔的位置配置是依身分而定，而不是靠人工維護時，效果最好。我們的 網路區隔 指南涵蓋如何規劃並落實執行。
2. 每台裝置加入網路前都必須先完成驗證
在 Wi-Fi 和有線網路上使用 802.1X，讓每位使用者或裝置在取得存取權限前都必須先證明身分。每位使用者或每台裝置各自的認證，可取代共用密碼，避免任何只要實體接近裝置或取得外洩密碼的人都能使用該密碼。
這會封鎖攻擊者只要將裝置連接到網路，便能從該處開始橫向移動的路徑。
3. 盡可能以憑證取代可重複使用的密碼
以憑證為基礎的網路驗證（例如 EAP-TLS）會將存取權限綁定到安裝在受管理裝置上的憑證。攻擊者無法透過網路密碼進行網路釣魚、猜測，或竊取後再到另一個系統上重放使用。
4. 對帳戶強制執行最低權限原則
為管理員提供專用的管理工作帳號，並限制特權帳號可在哪些地方登入。為管理員存取加入 MFA，讓單靠遭竊密碼也無法開啟高價值系統。
日常工作站上快取的特權認證資訊越少，攻擊者在認證資訊存取階段可蒐集的內容就越少。
5. 限制管理通訊協定
僅允許有需要的主機（例如指定的管理工作站）使用 RDP、SMB、WinRM 和 SSH。封鎖工作站與工作站之間透過這些通訊協定的流量，藉此移除許多用於遠端服務和橫向工具傳輸的路徑。
6. 持續為內部服務套用修補程式
內部系統也應獲得與面向網際網路的系統同等程度的修補重視。結合網路分段後，及時修補可讓有弱點的服務不易被觸及，並限制透過遠端服務進行利用的機會。
7. 監控驗證並快速回應
集中端點、伺服器和網路驗證的記錄檔，讓可疑模式能在同一處清楚呈現。再結合 EDR 與經過測試的回應計畫，便能在攻擊者進一步行動前，先隔離遭入侵的帳戶或裝置。
Foxpass 如何在網路邊緣限制橫向移動
來自 Splashtop 的 Foxpass 提供雲端託管的 RADIUS、PKI 和 LDAP 服務，可控制哪些人與哪些裝置能連接到您的網路。它可協助 IT 團隊在每個 Wi‑Fi、VPN 和有線連接上加入身分驗證，限制攻擊者從遭入侵裝置進一步擴散的範圍。
1. 以身分為基礎的網路存取與分段
Foxpass Cloud RADIUS 會在每位使用者或裝置加入網路前先進行驗證，然後根據其在 Google Workspace、Okta、Microsoft Entra ID、OneLogin 或 LDAP 中的目錄群組成員資格，將其指派到對應的 VLAN。訪客或 BYOD 裝置會被導向受限網段，而財務與工程裝置則會進入各自的網段。
如果其中一台裝置遭到入侵，攻擊者就會從一個只能有限通往其餘網路區段的區段開始行動。深入了解使用 Foxpass 的動態、以身分為基礎的分段。
2. 無密碼憑證式驗證
Foxpass Cloud PKI 透過 MDM 整合與 SCEP 向裝置簽發憑證，因此受管理的裝置可使用 EAP-TLS 進行連接。使用憑證式驗證後，就沒有可被竊取並重複使用的共用 Wi-Fi 密碼。
對於尚未準備好將每台裝置都改用憑證的團隊，Foxpass 也支援搭配個別使用者認證的 EAP-TTLS，仍可用每位使用者各自的存取方式取代單一共用密碼。
3. 隨目錄同步的存取權限
由於網路存取是與目錄群組成員資格綁定，因此身分識別提供者中的變更也會延續到網路。當有人離開組織或變更角色時，其網路存取與所屬網路區段也會隨之調整，進而封鎖攻擊者經常鎖定的過時認證。
Foxpass 也會依 VLAN 和原則記錄存取嘗試。這些記錄會顯示哪些使用者和裝置曾連接、連接時間，以及連到哪個區段，有助於支援前面提到的偵測工作。
Foxpass 會控管誰能連上網路，以及他們會被導向哪裡。它不會檢查已位於同一網段裝置之間的流量，因此最適合搭配 EDR、最低權限帳戶控制，以及上述其他做法一併使用。
在攻擊者發現之前，先縮小可能的影響範圍
橫向移動會讓單一遭入侵的裝置演變成整個組織的事件，而攻擊者的觸及範圍決定了事件會擴大到多遠。限制哪些裝置可以加入網路、各自會被放到哪裡，以及哪些認證資料可以重複使用，能大幅減少攻擊者可前往的地方。
Foxpass 可協助 IT 團隊在每個網路連接上進行身分與憑證檢查，無需在內部執行 RADIUS 或 PKI 伺服器。立即開始免費試用，看看 Foxpass 如何融入您的網路環境。
