ラテラルムーブメント（横移動）とは？内部ネットワークを侵食する攻撃手口と防御策を現場目線で解説

ファイアウォールを突破した後、攻撃者がまず行うのは「横移動」だ。最初に侵害した端末から、別のサーバー・別のアカウントへとじわじわ侵食域を広げる。境界防御だけでこれを防ぐのは難しい。

ランサムウェア被害の多くで共通するのは、「気づいた時には社内の複数サーバーにマルウェアが展開されていた」という状況だ。攻撃者が最初に侵害した端末から、水平方向に移動して重要システムへ到達している。これがラテラルムーブメント（Lateral Movement）の本質だ。

この記事では、ラテラルムーブメントの仕組み・代表的な手口・実効性のある防御策について、現場のエンジニアが「明日から動ける」レベルで解説する。インフラエンジニア・社内SE・中小企業の情シス担当の方に特に読んでほしい内容だ。

ラテラルムーブメントとは？なぜ今すぐ理解すべきか

ラテラルムーブメント（Lateral Movement、横移動）とは、攻撃者が組織の内部ネットワークに侵入した後、より多くのシステム・アカウント・データにアクセスするために水平方向に移動していく一連の行動を指す。

サイバーキルチェーンの「横展開」フェーズ、そしてMITRE ATT&CKフレームワークでは「Lateral Movement（TA0008）」として定義されている重要な攻撃戦術だ。

攻撃者の本当の目的は「最初に侵害した端末」ではなく、その先にある高価値な資産だ。ドメインコントローラー・バックアップサーバー・会計システム・個人情報データベース――侵害した一般社員のPCから、それらを管理する特権サーバーへ向かう道筋が、ラテラルムーブメントに他ならない。

なぜ今理解すべきかというと、ランサムウェアや標的型攻撃の大半が、このラテラルムーブメントを組み込んだ多段侵害を採用しているからだ。「入口を守れば安全」という時代はすでに終わっている。

攻撃の仕組み：攻撃者はどうやって横移動するのか

ラテラルムーブメントの手口は多岐にわたる。ここでは現場で頻繁に観測される代表的な手法を、防御目的で解説する。

1. パス・ザ・ハッシュ（Pass the Hash: PtH）

Windowsの認証メカニズムであるNTLMを悪用した手法だ。攻撃者は侵害した端末のメモリから認証情報（パスワードのハッシュ値）を取り出し、そのハッシュをそのまま別のシステムへの認証に使う。

重要な点は、パスワードの平文（実際の文字列）が不要なことだ。ハッシュ値を「鍵」として直接使えるため、パスワードの解読なしに横移動が可能になる。

2. パス・ザ・チケット（Pass the Ticket: PtT）

KerberosベースのActive Directory環境で有効な手法だ。侵害した端末からKerberosチケット（TGT・サービスチケット）を窃取し、別の端末での認証に再利用する。

ゴールデンチケット攻撃はこの発展形で、ドメインコントローラーから特定の秘密鍵（KRBTGT）を盗み出すことで、任意のユーザーとして任意のサービスへアクセスできるチケットを偽造できる。Active Directory環境では最も危険な手法の一つだ。

3. リモートサービスの悪用（WMI・SMB・RDP・WinRM）

Windowsの正規管理機能を悪用する手法だ。

・WMI（Windows Management Instrumentation）: リモートでコマンドを実行できる管理インターフェース。管理者権限があれば別端末でも実行できる
・SMB（Server Message Block）: ファイル共有プロトコル。445番ポートを使った横移動で、PsExecと組み合わせて悪用されることが多い
・RDP（Remote Desktop Protocol）: 3389番ポート。正規のリモートデスクトップ機能をそのまま利用するため検知が難しい
・WinRM（Windows Remote Management）: PowerShellリモートセッションを確立するプロトコル。管理目的で開放されていることが多い

これらはすべてWindowsに標準搭載された正規機能であるため、シグネチャベースの検知では捉えにくい。

4. LOLBins（Living off the Land）による横移動

正規のシステムツール（PowerShell・PsExec・net.exe・wmic.exe など）を悪用して横移動する手法だ。マルウェアを持ち込まないため、従来のアンチウイルスによる検知を回避できる。LOLBins攻撃の詳細な解説もあわせて参照してほしい。

5. 認証情報のダンプ（Credential Dumping）

侵害した端末のメモリ（LSASSプロセス）やSAMデータベース・NTDS.ditファイルから認証情報を抽出する手法だ。取得した認証情報をPtHやPtTに活用することで、さらなる横移動が可能になる。

# 攻撃者の典型的なラテラルムーブメント手順（防御理解のための概念フロー）
# 1. 一般社員PCをフィッシングメールで侵害
# 2. LSASSメモリからハッシュ・チケットを窃取
# 3. Pass the Hashで隣接サーバーへ横移動
# 4. LOLBinsで追加偵察・さらなる横移動を継続
# 5. ドメインコントローラーへ到達
# 6. 全ドメインコンピュータへのランサムウェア展開

具体的な防御手順

1. ネットワークセグメンテーション

ラテラルムーブメントを封じ込める最も根本的な対策が、ネットワークの分割だ。すべての端末・サーバーがフラットなネットワークに接続している環境では、1台の侵害が全体の侵害につながる。

・VLANによる分割: 部署・役割別にネットワークセグメントを分け、相互通信を制限する
・マイクロセグメンテーション: 仮想的にセグメントを細分化し、端末間の東西通信（East-West traffic）を原則ブロックする
・ファイアウォールルール: サーバー間通信は必要最小限のポート・IPアドレスの組み合わせのみ許可し、445番・3389番ポートの端末間通信は原則遮断する

2. 最小権限の原則と特権アクセスの管理

攻撃者がラテラルムーブメントを成功させるためには、横移動先で有効な認証情報が必要だ。「どこでも使えるローカル管理者アカウント」や「全サーバーで同じパスワードの管理者」は、攻撃者にとって最大の武器になる。

・LAPSの導入: 各端末のローカル管理者パスワードをランダムに管理し、共通パスワードによる一斉侵害を防ぐ
・管理者アカウントの分離: 日常業務用アカウントと特権アカウントを分ける。特権アカウントでメールやブラウザを使わない
・特権アクセス管理（PAM）: 特権アカウントの利用を記録・制御する仕組みを導入し、不審な利用をすぐに検知できるようにする

3. 認証情報の保護とNTLM制限

Pass the Hashの根本原因はNTLMハッシュの再利用にある。

・NTLMv1の完全無効化: グループポリシーでNTLMv1を禁止し、NTLMv2以上に統一する
・Credential Guardの有効化: WindowsのVBS（Virtualization-Based Security）機能でLSASSを保護し、メモリからのハッシュ窃取を困難にする
・Protected Usersグループの活用: 重要アカウントをProtected Usersグループに追加し、Kerberosチケットのキャッシュを制限してPtTのリスクを低減する

# Credential Guard有効化（グループポリシーで設定する場合の項目）
# コンピュータの構成 → 管理用テンプレート
# → システム → Device Guard
# → 「仮想化ベースのセキュリティを有効にする」を「有効」に設定
# → Credential Guard の構成: 「UEFI ロックで有効化」を選択
# ※ Windows 10/11 Pro または Enterprise が必要

4. ゼロトラストアーキテクチャの段階的導入

「内部ネットワークは安全」という前提を捨てるゼロトラストは、ラテラルムーブメント対策の根本思想だ。

・「決して信頼せず、常に検証する」: 内部ネットワークのアクセスも、外部と同様に認証・認可を徹底する
・継続的な認証: 一度認証したセッションでも、アクセスごとにリスク評価を行い、不審な挙動があれば再認証を求める
・最小権限アクセス: 必要なリソースへの必要最小限のアクセスのみ許可し、不要な横方向通信経路を排除する

5. EDRとSIEMによるリアルタイム検知

予防対策だけでは限界がある。ラテラルムーブメントをリアルタイムで検知するために、EDR（エンドポイント検知・対応）の導入が有効だ。

EDRは端末上の振る舞いを監視し、「通常業務では発生しないLSASSへのアクセス」「PsExecによる遠隔実行」「異常な認証試行の連鎖」などを検知できる。SIEMと組み合わせることで、複数端末にまたがる横移動のパターンを相関分析で浮かび上がらせることができる。

# SIEMで監視すべきラテラルムーブメントの指標（IoA）
# Event ID 4624/4625: 同一アカウントの短時間での複数サーバー認証試行
# Event ID 4648        : 明示的な資格情報を使ったログオン（別ユーザーで実行）
# Event ID 4688        : WMI・PsExecによる不審なプロセス生成
# Sysmon Event ID 10   : LSASSプロセスへのアクセス
# Sysmon Event ID 3    : 通常業務外の445・3389ポートへの接続
# 参考: 通常業務時間外のドメインコントローラーアクセスも要注意

中小企業でも今日からできること

「ゼロトラストやEDRは大企業向けでは？」と感じるかもしれない。しかし予算が限られている環境でも、優先度の高い対策から着手できる。

今週中にできること

・ローカル管理者パスワードの確認: 全端末で同じローカル管理者パスワードを使っているなら、Windows LAPSの導入計画を始める
・端末間SMB通信の確認と制限: ファイアウォールで、端末同士の445番ポートの不要な通信を遮断する
・Windowsイベントログの有効化: 認証関連イベント（4624・4625・4648）の収集を有効にし、異常なログイン試行を把握できるようにする

1か月以内にできること

・特権アカウントの棚卸し: 管理者権限を持つアカウントを一覧化し、本当に必要なものだけに絞り込む。退職者のアカウントが残っていないか確認する
・Windows LAPSの導入: 無償で利用できるWindows LAPS（Windows Server 2022・Windows 11対応）を導入し、ローカル管理者パスワードを端末ごとにランダム化する
・Credential Guardの有効化: Windows 10/11 ProまたはEnterpriseならグループポリシーから有効化できる（ハードウェア要件の確認が必要）

Linuxサーバーが混在する環境では、権限管理やSELinux・sudoの設定も重要だ。詳細は姉妹サイトLinuxMaster.JPで解説している。

よくある誤解と注意点

【誤解1】「社内ネットワークに入れなければ安全」

VPNやファイアウォールで入口を守っても、フィッシングメール1通で社内に侵害が起きることがある。入口突破後の横移動を前提とした「侵害後の対策」も同時に整備する必要がある。境界防御と内部防御は、車の両輪だと理解してほしい。

【誤解2】「アンチウイルスがあれば検知できる」

LOLBinsやPtHのような手法は、正規ツールや正規の認証フローを悪用するため、シグネチャベースのアンチウイルスでは検知が非常に難しい。振る舞い検知ができるEDRの導入が、現代の脅威には欠かせない理由はここにある。

【誤解3】「AD環境でないので関係ない」

Active Directory環境でなくても、ラテラルムーブメントは発生する。Linuxサーバー間のSSH鍵の流用・共通のrootパスワード・共有NASへのアクセス権など、あらゆるネットワーク環境に横移動の経路は存在する。

【注意】学習目的での検証について

本記事で紹介した攻撃手法を、許可なく他者のシステムに対して試みることは不正アクセス禁止法に違反する。学習目的の場合も、必ず自分が管理する閉じた検証環境内で行うこと。詳細は法律の専門家にご確認ください。

本記事のまとめ

ラテラルムーブメントは「侵入された後」に起きる攻撃だ。境界防御だけでは防ぎきれず、ネットワーク分割・最小権限・認証情報保護・EDR検知の組み合わせが不可欠となる。「侵害された前提で内部をどう守るか」という視点が、現代のセキュリティには欠かせない。