ラテラルムーブメント（水平展開）を検知・防止する方法
企業が被害拡大を防ぐための対策

ラテラルムーブメント（水平展開・横展開）とは、サイバー空間において攻撃者が内部ネットワークへ侵入した後、他の端末やサーバーへ横方向に移動しながら感染範囲と権限を段階的に拡大する攻撃手法を指します。正規の認証情報や管理ツールが悪用されることが多いため、通常の業務活動と区別がつきにくく、発見が遅れる傾向があります。この水平展開が進行すると、特権アカウントの侵害やデータ侵害、ランサムウェアの全社感染など、被害が急速に拡大する危険性があります。そのため、内部通信の可視化やユーザー行動の監視による早期検知と、最小特権アクセスの徹底、ゼロトラストの導入、特権アクセス管理の強化といった対策が重要になります。本記事では、ビジネス分野で使われる「水平展開」ではなく、サイバー攻撃における内部横移動を指します。

ここでは、ラテラルムーブメントとその仕組み、ラテラルムーブメントを検知する方法、ネットワーク内のラテラルムーブメントを阻止する方法について、さらに詳しく説明します。

ラテラルムーブメントの仕組みと攻撃の流れ

多くの場合、ラテラルムーブメントはフィッシング攻撃や認証情報の盗難、サイバーセキュリティにおける脆弱性の悪用による初期侵入の後に開始されます。攻撃者は侵入した端末(エンドポイント)を足掛かりに内部ネットワークを探索し、より高い権限や重要資産へのアクセスを試みます。

攻撃者は、特権の割り当てや利用状況が適切に追跡されていない環境を悪用し、ラテラルムーブメントを進めます。特権アクセスの統制が不十分な場合、アクセス権限の範囲が不明確になり、侵入された後の権限昇格を許してしまう可能性があります。

一般的な攻撃の流れは次のとおりです。

• 初期侵入の成功
• 内部ネットワークの探索
• 認証情報の窃取
• 特権アカウントへのアクセス試行
• 権限昇格
• データ窃取やランサムウェアの展開

このように、ラテラルムーブメントは一度の侵害を組織全体へ拡大させる攻撃フェーズであり、特権アクセス管理やゼロトラストの仕組みが整備されていない場合、その影響は急速に広がります。

ラテラルムーブメントの危険性

ラテラルムーブメントの最大の危険性は、被害が段階的かつ広範囲に拡大していく点にあります。初期侵入自体は限定的であっても、内部ネットワーク内でラテラルムーブメントが進行すると、攻撃者はより高い権限や重要な資産へ到達できるようになります。その結果、組織全体に深刻な影響を及ぼす可能性があります。

ラテラルムーブメントは、その発生のしやすさと拡大速度に比べて、危険性が十分に認識されていないケースも少なくありません。特に、特権アカウントや認証情報の管理が不十分な環境では、攻撃者は想像以上に容易にラテラルムーブメントを進めることができます。

具体的には、次のようなリスクが考えられます。

• 単一端末の侵害が組織全体へ波及する可能性
• 特権アカウント侵害による制御不能状態
• 内部攻撃のため発見が遅れやすい
• ランサムウェアの全社感染につながる
• 業務停止や信用低下のリスク

水平展開の危険性を正しく理解し、侵害後の拡大を前提とした対策を講じることが重要です。

なぜラテラルムーブメントは検知が難しいのか

ラテラルムーブメントが厄介なのは、その多くが正規の認証情報や管理ツールを利用して実行される点にあります。攻撃者は外部から目立つ攻撃を行うのではなく、内部ネットワーク内で静かに権限を拡大していきます。そのため、通常の業務活動との区別がつきにくく、発見が遅れる傾向があります。

検知が難しい主な理由には、次のような点があります。

• 正規の認証情報が悪用される
• 管理ツールがそのまま利用される
• 内部通信として自然に見える
• 境界型防御をすり抜けた後に発生する

このような特徴から、外部防御だけに依存したセキュリティ対策では不十分です。内部挙動を継続的に可視化し、異常な動きを早期に把握する体制が求められます。

ラテラルムーブメントの検知方法

ラテラルムーブメント(水平展開・横展開)を早期に発見するためには、平常時の通信やアクセス状況を把握し、通常とは異なる挙動を見逃さない仕組みを整えることが重要です。単発のアラートではなく、全体像を把握できる監視体制が効果を発揮します。

ラテラルムーブメントを早期に検知するには、通常の内部挙動を把握し、逸脱を迅速に検出することが重要です。攻撃者は正規の認証情報や管理ツールを利用するため、内部アクティビティの継続的な可視化が不可欠です。

• 異常なネットワークアクティビティの特定： セキュリティ設定の変更、想定外のポート接続、不自然な内部通信の増加、通常利用されないプロトコルの使用などを監視します。平常時の通信パターンを把握することで異常を検出しやすくなります。
• ラテラルムーブメント経路の可視化： どのアカウントがどのシステムへアクセスできるのかを明確にし、重要資産への経路を把握します。特権アカウントの棚卸しや認証ポリシーの確認が重要です。
• ユーザー行動の分析： 特権アカウントへの複数回ログイン、不自然な時間帯のアクセス、機密情報への急増したアクセスを確認します。行動の変化を把握することでラテラルムーブメントの兆候を早期に検出できます。
• 不明または新規接続デバイスの確認： ネットワークに接続されている端末を定期的に確認し、所有者を特定します。未承認のデバイスは攻撃者の足掛かりとなる可能性があります。

新しく接続された端末や未承認のデバイスが存在していないかを定期的に確認することも重要です。所有者や利用目的が不明な端末は、攻撃者の足掛かりとなる可能性があります。

ラテラルムーブメントを防ぐための対策

被害拡大を防ぐためには、侵入後のラテラルムーブメントを前提とした設計が不可欠です。特に、特権アカウントや認証情報の管理体制が不適切な場合、攻撃者の横展開を許してしまうリスクが高まります。

最小特権アクセスの確保・徹底

最小特権の原則は、業務に必要な最小限のアクセスのみを付与する考え方です。不要な管理者権限を削除し、高権限アカウントの利用を制限し、アクセス権限を定期的に見直すことで、過剰な権限を抑制できます。

不要な特権を制限することで、認証情報が侵害された場合でも被害範囲を限定し、権限昇格を防ぎます。

ゼロトラストの導入

ゼロトラストは、内部ネットワークであっても信頼を前提としないセキュリティ設計です。すべてのアクセス要求を検証し、ユーザーとデバイスを継続的に確認することで、ラテラルムーブメントのリスクを低減します。

多要素認証（MFA）の導入

多要素認証（MFA）は、複数の認証要素を要求するセキュリティ対策です。二要素認証(2FA)はその一種で、パスワードに加えてワンタイムコードなどの追加認証を組み合わせます。

特権アカウントや管理ツールへのアクセスにはMFAを必須とし、許可されたユーザーのみがアクセスできる体制を徹底することが重要です。攻撃者は追加の認証要素を提供できないため、盗まれた認証情報だけによるラテラルムーブメントを防ぐことができます。

ネットワークのセグメント化

ネットワークを分割し、重要システムへのアクセス経路を限定することで、攻撃範囲を物理的・論理的に制限できます。一部が侵害された場合でも、全体への拡大を防ぎやすくなります。

ソフトウェアを最新の状態に保つ

攻撃者は既知の脆弱性を悪用して初期侵入やラテラルムーブメントを行います。OSやアプリケーション、ネットワーク機器を常に最新の状態に保ち、セキュリティパッチを定期的に適用することが重要です。

既知の脆弱性が未修正のまま残っている環境では、攻撃者に横展開の足掛かりを与える可能性があります。継続的なアップデートと脆弱性管理により、リスクを低減できます。

PAMソリューションへの投資

PAMソリューションとは、機密性の高いデータや重要なシステムへアクセスする特権アカウントを管理・保護するためのツールです。ラテラルムーブメント対策の中核となるのが特権アクセス管理です。攻撃者は、特権の割り当てや利用状況が適切に追跡されていない環境を利用して、権限昇格や横展開を進めます。

PAMソリューションを導入することで、組織は次のような対策を実施できます。

• 特権IDの集中管理
• 認証情報の安全な保管
• アクセス履歴の可視化と監査
• 不要な特権の定期的な見直し

特権アクセス管理を統合的に強化することは、侵害後の被害拡大を抑制するための重要な取り組みです。

ラテラルムーブメント対策チェックリスト

ラテラルムーブメント対策を実効性のあるものにするため、次の項目を定期的に確認することが推奨されます。

• 特権アカウントを把握しているか
• 多要素認証を導入しているか
• 内部通信を可視化できているか
• ネットワーク分離が適切に設計されているか
• アクセス権を定期的に見直しているか

まとめ：KeeperPAMでラテラルムーブメントを未然に防ぐ

特権アクセスが適切に管理されていない環境では、ラテラルムーブメントへの対処は困難になります。攻撃者は盗んだ認証情報を利用して内部ネットワークを横移動し、特権アカウントを侵害しながら段階的に権限を拡大していきます。その結果、データ窃取やランサムウェア被害につながる可能性があります。

被害拡大を防ぐためには、最小特権アクセス、ゼロトラスト、特権アクセス管理の強化が不可欠です。PAMソリューションを導入することで、特権ID管理の一元化、認証情報の保護、アクセス状況の可視化を実現できます。

Keeperはゼロトラストに基づくクラウドネイティブのPAMソリューションです。ラテラルムーブメントのリスクを低減し、組織の重要資産を保護します。世界で7万社以上の法人がKeeperを採用している実績が、その信頼性を支えています。ラテラルムーブメント対策を強化するために、KeeperPAMの無料トライアルをご利用ください。実際の運用環境で機能をご確認いただけます。導入をご検討中の場合は、デモのリクエストも可能です。

---

よくある質問