ラテラルムーブメント｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. ラテラルムーブメント
             

ラテラルムーブメント

テラルムーブメント（Lateral Movement）とは、サイバー攻撃において、攻撃者が一度標的のシステムやネットワーク内に侵入した後、ネットワーク内部で横方向に移動しながら、他のデバイスやシステムにアクセスを広げる活動を指します。この動きにより、攻撃者はネットワーク内部で権限を拡大し、最終的な目的である機密情報へのアクセスやデータの窃取、システム破壊に向けて準備を進めます。

ラテラルムーブメントは、侵入後に内部環境を把握し、システム内での権限を徐々に高めていく一連のステップから構成されるため、攻撃の中でも特に巧妙で持続的な手法とされ、企業や組織にとって大きな脅威となっています。

ラテラルムーブメントの目的

ラテラルムーブメントは、ネットワーク内でのアクセス範囲を広げることを目的とし、以下のような目標に向かって進められます。

  1. 権限昇格：ネットワーク内での権限を高め、より重要なシステムやデータにアクセスできるようにする。
  2. 機密情報の探索と窃取：データベースやファイルサーバーにアクセスし、機密情報や重要なファイルを取得する。
  3. 持続的なアクセス経路の確保：一度侵入したシステムに対してバックドアを仕掛け、継続的にアクセスできるようにする。
  4. 最終目標への到達：データの窃取、ランサムウェアの仕掛け、システムの破壊など、攻撃者の本来の目的を達成するための準備。

ラテラルムーブメントのプロセス

ラテラルムーブメントは以下のようなプロセスで実行されます。

1. 初期侵入と偵察

攻撃者はまず標的ネットワークに侵入し、ネットワーク内の構成やデバイス、ユーザーアカウントの情報を収集します。偵察では、どのデバイスやアカウントに権限があるか、どのサービスが動作しているかを把握し、攻撃の足掛かりとします。

2. 資格情報の収集（Credential Dumping）

攻撃者は管理者アカウントなどの特権アカウントの資格情報（IDやパスワード）を収集します。資格情報の取得には、ハッシングやパスワードクラックツール、ネットワーク内で盗まれたログイン情報が使用され、特に管理者アカウントがターゲットとなります。

3. 権限昇格（Privilege Escalation）

得た資格情報を使用して、権限昇格を試みます。これにより、攻撃者は標的システムやサーバーへのアクセス権を増やし、重要なシステムやファイルにアクセス可能な権限を確保します。

4. 横移動（Lateral Movement）

権限を持った状態で他のデバイスやシステムに横方向に移動します。攻撃者は、リモートデスクトップ（RDP）やSSH、ファイル共有（SMB）などの内部ネットワークプロトコルを利用して、徐々に影響範囲を広げていきます。

5. 目的達成

最終的に攻撃者は、窃取した機密情報を外部に転送したり、システムの操作を行ったり、ランサムウェアを仕掛けたりと、目標の行動を達成します。

ラテラルムーブメントで使用される手法とツール

ラテラルムーブメントを行う際、攻撃者は特定のツールや手法を利用してシステムにアクセスし、権限を広げます。代表的なものは次の通りです。

  • Mimikatz：認証情報（パスワードやハッシュ）を取得するためのツールで、特権昇格の手段として広く使われます。
  • PsExec：Windowsの管理ツールで、リモートシステム上でコマンドを実行でき、ラテラルムーブメントに利用されます。
  • PowerShell：Windowsのスクリプト環境で、スクリプトを使ってネットワーク内部でコマンドを実行したり、リモート管理を行うために悪用されることがあります。
  • Remote Desktop Protocol（RDP）：Windowsのリモート接続プロトコルで、攻撃者が他のデバイスにアクセスするために利用します。
  • SMB（Server Message Block）：ファイル共有のためのプロトコルで、リモートデバイス上のファイルにアクセスしたり、資格情報を収集するために使用されます。

ラテラルムーブメントのリスク

ラテラルムーブメントによって企業や組織が直面するリスクは以下の通りです。

  1. データ漏洩のリスク 攻撃者がネットワーク内で横移動を続けることで、顧客情報や機密情報が外部に漏洩するリスクが高まります。特に、内部にあるデータベースや重要なファイルサーバーにアクセスされると、甚大な損害が発生します。
  2. システム操作や破壊のリスク 攻撃者は最終的な目標に到達すると、システムの操作やランサムウェアによる破壊を行う可能性があります。これにより、システムの停止やデータの完全な破壊といった被害が発生します。
  3. 長期間の潜伏と監視リスク ラテラルムーブメントは、長期間にわたって持続的に実行されることが多く、攻撃者がネットワーク内で監視やデータ収集を継続的に行う可能性があります。これにより、ネットワーク全体が監視される恐れがあるため、システム全体が脅威にさらされます。

ラテラルムーブメントへの対策

ラテラルムーブメントに対する対策として、以下のような手法が推奨されています。

  1. 多要素認証（MFA）の導入 資格情報を盗まれても、複数の認証要素が必要になるため、攻撃者による不正アクセスを防ぎやすくなります。
  2. ゼロトラストセキュリティ ゼロトラストのアプローチにより、内部ネットワーク内でも常にアクセス権の確認を行い、認証を徹底することで、不正なアクセスの拡大を防ぎます。
  3. 最小権限の原則 各ユーザーやサービスに必要最低限の権限のみを付与することで、攻撃者が権限を拡大するのを防ぎます。
  4. ログ監視と分析 ラテラルムーブメントの兆候を早期に検知するために、システムのログを監視し、不審な動作やアクセスの兆候を見逃さないようにします。
  5. ネットワークセグメンテーション ネットワークを複数のセグメントに分割し、セグメントごとにアクセス制御を行うことで、攻撃者がネットワーク内で移動しにくくします。
  6. EPP・EDRツールの導入 エンドポイント保護プラットフォーム（EPP）やエンドポイント検出・応答（EDR）ツールを導入して、エンドポイントの異常を検知し、攻撃を迅速に対応します。

まとめ

ラテラルムーブメントは、侵入後のネットワーク内部で攻撃者が権限を広げて重要なデータやシステムに到達するための重要な手法です。攻撃者は資格情報の収集や権限昇格を繰り返し、組織全体に大きな被害をもたらす可能性があります。これに対し、最小権限の原則や多要素認証、ゼロトラストセキュリティなどの対策を導入することで、ラテラルムーブメントによる被害を防止し、システムの安全性を高めることができます。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。