当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
ラテラルムーブメントとは
ラテラルムーブメント（Lateral Movement）とは、攻撃者が一台の端末への侵入に成功した後、同じネットワーク内の他の端末やサーバーへ侵入範囲を広げる攻撃手法である。
「Lateral」は「横方向」を意味し、侵入後にネットワーク内を横へ移動しながら権限や情報を拡大していくことから、この名称で呼ばれている。
ラテラルムーブメント自体が攻撃の目的ではなく、重要な情報や管理者権限へ到達するための手段として利用される。
ラテラルムーブメントはどのように行われるのか
攻撃者は、侵入した端末を起点として、ネットワーク内の他の端末や共有フォルダ、サーバーなどを調査する。
その後、盗み出した認証情報や脆弱性などを利用し、別の端末への侵入を繰り返しながら目的のシステムを目指す。
このように、一台から複数台へ侵入範囲を広げていくことがラテラルムーブメントである。
なぜラテラルムーブメントが行われるのか
最初に侵入した端末には、攻撃者が求める情報や権限が存在しないことも多い。
そのため、攻撃者はネットワーク内を移動しながら、
- 管理者アカウント
- ファイルサーバー
- バックアップ
- 業務システム
- 機密情報
などを探索する。
ランサムウェアによる攻撃では、ネットワーク内の端末やサーバーへ侵入範囲を広げた後、一斉に暗号化を開始する手法が取られる場合がある。
小規模環境でも発生するのか
ラテラルムーブメントは、大企業だけの問題ではない。
SOHOや小規模事業者でも、
- パソコン同士でファイル共有している
- NASを利用している
- 共通アカウントを利用している
- 同じ管理者パスワードを使い回している
といった環境では、侵入範囲が広がりやすくなる。
ネットワーク内の機器が少なくても、重要なデータやバックアップが同じネットワーク上にあれば被害は大きくなる。
ラテラルムーブメントへの対策
ラテラルムーブメントは、一台への侵入を完全に防ぐことではなく、侵入後に他の端末へ被害を広げないことを目的とした対策が中心となる。
そのため、一台へ侵入されても他の端末やサーバーへ被害が広がりにくい環境を構築することが重要である。
主な対策は次のとおりである。
- ネットワークを分離する
- 共通アカウントを使用しない
- 多要素認証を導入する
- 管理者権限を必要最小限にする
- ソフトウェアを最新の状態に保つ
- バックアップを分離する
まとめ
ラテラルムーブメントとは、攻撃者が侵入後にネットワーク内を移動し、他の端末やサーバーへ攻撃範囲を広げる手法である。
攻撃者は重要な情報や管理者権限へ到達するためにラテラルムーブメントを行うことが多く、ランサムウェアなどの被害拡大にも利用される。
小規模環境でも発生する可能性があるため、一台への侵入を前提として、被害が他の端末やサーバーへ広がりにくい構成や運用を行うことが重要である。