ランサムウェアや標的型攻撃の被害が深刻化する背景には、攻撃者が組織内部で横方向に移動する「ラテラルムーブメント（横展開）」があります。1台の端末やアカウントを侵害した攻撃者は、そこを足がかりに次々と別の端末・サーバーへ侵入範囲を広げ、最終的に基幹システムやバックアップに到達します。境界を固めるだけでは防ぎきれないこの動きを、いかに封じ込めるかが被害の大小を分けます。本記事では、ラテラルムーブメントの手口とゼロトラストによる対策を解説します。
ラテラルムーブメントとは
ラテラルムーブメントとは、攻撃者が最初の侵入地点から組織内の他のシステムへと移動していく一連の活動を指します（MITRE ATT&CKでも独立した戦術として整理されています）。多くの攻撃では、初期侵入そのものよりも、この横展開の段階で被害範囲が決まります。攻撃者は権限を昇格させ、より価値の高い資産へ静かに近づいていきます。
攻撃者の典型的な手口
- 認証情報の窃取：侵害した端末のメモリやブラウザから、ID・パスワード・トークンを抜き取る。
- Pass-the-Hash／Pass-the-Ticket：盗んだ認証情報のハッシュやチケットを再利用し、パスワードを知らずに別システムへログインする。
- 特権昇格：管理者権限を奪い、ドメイン全体を掌握する。
- 正規ツールの悪用：リモートデスクトップ（RDP）や管理ツールなど、正規の機能を使って移動し、検知を逃れる。
なぜ境界防御では防げないのか
従来の「境界の内側は信頼する」という考え方では、いったん内部に入られると、内部通信は素通しになりがちです。攻撃者は正規のアカウントとして振る舞うため、ファイアウォールやアンチウイルスだけでは横展開を止められません。そこで必要になるのが、「社内であっても常に検証する」ゼロトラストの発想です。
ラテラルムーブメントを封じ込める対策
1. 最小権限とID分離
各アカウントに必要最小限の権限しか与えず、管理者権限を日常業務用アカウントから分離します。1つのアカウントが奪われても、被害範囲を局所化できます。
2. 多要素認証（フィッシング耐性）
盗んだパスワードだけでは横展開できないよう、重要システムへのアクセスにMFAを適用します。Pass-the-Hash等に強い、フィッシング耐性の高い認証方式が有効です。
3. 特権アクセス管理（PAM）
管理者権限を必要なときだけ払い出し、特権操作を記録します。攻撃者が狙う「常時有効な強い権限」を減らすことが要点です。
4. ネットワークのマイクロセグメンテーション
内部ネットワークを細かく区切り、端末間・サーバー間の不要な通信を遮断します。横方向の経路そのものを断つ対策です。
5. 継続的な監視と検知
通常と異なるログイン・権限昇格・内部通信を検知できるよう、認証ログやアクセスログを収集・監視します。
ゼロトラストで「動けない」状態をつくる
これらの対策の共通点は、「侵入されること」を前提に、侵入後に攻撃者が動けない状態をつくるという発想です。アクセスのたびにID・端末・権限を検証し、最小権限で区切っておけば、1点の侵害が全体の被害に直結しません。ゼロトラストは製品名ではなく、この設計思想の総称です。
まとめ
ラテラルムーブメントは、被害を「1台の事故」から「全社の危機」へと拡大させる分岐点です。境界防御だけに頼らず、最小権限・フィッシング耐性の高い認証・特権アクセス管理・セグメンテーション・監視を組み合わせ、攻撃者が内部で動けない構造をつくることが重要です。その中心にあるのは、誰が・どの端末で・何にアクセスできるかを常に検証し、最小限に絞り込むID中心の制御です。侵入を止める発想から、侵入されても被害を封じ込める発想への転換が、これからの防御の鍵になります。