「ラテラル・ムーブメント」とは何ですか？

「ラテラルムーブメント」とは、侵入者がネットワークへの初期の足掛かりを確保した後、ホストの発見、認証情報の収集、より価値の高い標的への移行といった一連の手法を用いて、ネットワーク内を段階的に移動し、検知される前にデータを改ざん、制限、または外部へ持ち出すことを指します。

主なポイント

• 横方向の移動により、攻撃者は侵害されたホストから別のホストへと移動することができます。
• これは、多くの場合フィッシングによって確立された足掛かりとなる初期の侵害に続くものです。
• 攻撃者は、より価値の高いシステムやデータにアクセスするために、認証情報を収集する。
• マイクロセグメンテーションとインライントラフィック検査が、防御の中核をなしています。
• Versa ZT-LANは、拡張されたIPS脅威ライブラリを用いてこれを検知します。

このページの内容： その重要性 ・ 仕組み ・ 種類 ・ 横方向の移動とVersa ・ よくある質問

横方向の動きはなぜ重要なのでしょうか？

攻撃者が狙ったシステムに直接侵入することに成功することは、ほとんどありません。スピアフィッシングメールによって一般ユーザーのノートパソコンが侵害されたり、盗まれた認証情報でVPNセッションが開かれたり、パッチが適用されていないサービスが悪用されたり――そうした足掛かりを得たとしても、攻撃者は依然として、盗む価値のあるドメインコントローラー、データベース、またはファイル共有に到達しなければなりません。 ラテラルムーブメントとは、その中間段階のことであり、侵害がニュースの見出しになる前に阻止するための最も効果的な手段です。つまり、ピボットを封じ込めれば、侵害は単一のノートPCにとどまり、ドメイン全体に及ぶインシデントにはなりません。

今日、この問題がより重要視されているのは、LANや東西方向のトラフィックが、従来、インターネットのエッジを通過するトラフィックに比べてはるかに検査が不十分だったためです。RDPやSMBを介してワークステーションからワークステーションへと移動する攻撃者は、南北方向のトラフィックのみを監視するように構築されたネットワークからは、しばしば通常のIT活動のように見えます。ランサムウェアの攻撃者はこの死角に依存しています。攻撃を成功させるには、十分な数のシステムに到達するための横方向の移動が必要だからです。そのため、これを検知することが、今やネットワークセキュリティの決定的な要件となっていますアーキテクチャ 。

「ラテラル・ムーブメント」とは何ですか？

ラテラルムーブメント攻撃は通常、初期の侵入、状況把握、標的への攻撃という3つの段階を経て進行します。足場を築いた後、攻撃者はローカルネットワークやドメインを調査し（アカウント、共有フォルダ、到達可能なホストを列挙するなど）、次にどこへ進むべきかを把握します。認証情報収集ツールは、侵害されたホストにキャッシュされているパスワード、ハッシュ、またはチケットを抽出し、攻撃者はそれらを再利用することで、それ以上の脆弱性を悪用することなく、他のシステムへの認証を行います。

横方向の移動は通常、RDP、SMB、WinRM、あるいはIT担当者が日常的に使用するリモート実行ツールといった、正当な管理用チャネルを通じて行われます。こうした通常の管理業務との重なりがあるからこそ、単純な許可／拒否ルールでは横方向の移動を検知するのが困難なのです。トラフィック自体は許可されていることが多く、単に悪意のある第三者がそれを悪用しているだけだからです。攻撃者は、実際の標的となるシステムに到達するまで、ホップごとに探索と認証情報の再利用を繰り返します。

横方向の動きのテクニックの種類

実際の侵入事例には、いくつかの共通パターンが見られます。認証情報に基づく移動では、収集したパスワード、パスワードハッシュ（パス・ザ・ハッシュ）、またはKerberosチケット（パス・ザ・チケット）を再利用し、何も解読することなく新しいホストへの認証を行います。リモートサービスの悪用では、SMBやRDPなどの公開されているサービスにおけるパッチ未適用の脆弱性を標的とし、隣接するホスト上で直接コードを実行できるようにします。正当なリモート管理ツール（PsExec、WMI、PowerShell リモート機能など）の悪用により、攻撃者は管理者が日常的に使用しているのと同じユーティリティを利用して他のマシン上でコマンドを実行できます。この手口は、しばしば「リビング・オフ・ザ・ランド（Living off the Land）」と呼ばれます。内部スピアフィッシングでは、侵害されたアカウントの信頼された立場を利用して、組織内部から同僚を標的にフィッシングを行い、外部からのメールが引き起こすような疑念を回避します。

横方向の動きとVersa

Versa のZT-LANソリューションは、東西方向のトラフィックを中央のファイアウォールへバックホールするのではなく、LANファブリック自体に横方向の移動に対する保護機能を組み込んでいます。この保護機能は、拡張されたIPS脅威ライブラリ、横方向の移動に使用されるバイナリに合わせて調整されたマルウェアシグネチャベースを組み合わせ、ランサムウェア、マルウェア、および悪用された管理ツールに典型的な活動をフラグ付けするインライントラフィック検査を行います。VOSでも同様の検出が行われます。IPSおよびアンチウイルスエンジンがトラフィックを検査し、Responderなどのツールを含むランサムウェアやマルウェアの挙動を検知します。

管理者はこれをセキュリティプロファイルとして有効にします。ファイアウォールルールで送信元および宛先のゾーンを設定した後、「Lateral Movement Detection」という事前定義済みのプロファイルを「Enforce」タブの「Vulnerability protection」で適用し、デフォルトのログプロファイルを通じてログを記録します。検出されたインシデントは、Analyticsの「Logs」→「Threat Detection」→「IDP」に表示されます。

よくある質問

「横方向の移動」と「権限昇格」の違いは何ですか？

ラテラル移動とは、新たなシステムに到達することを指し、権限昇格とは、すでに到達したシステム上でより高い権限を獲得することを指します。この2つは相互に補完的な関係にあり、攻撃者はあるホスト上で権限を昇格させ、次のホストへの移動を可能にする認証情報を収集します。

攻撃者は、横方向への移動を行う前に、通常どのようにして最初の足掛かりを確保するのでしょうか？

スピアフィッシングが最も一般的な侵入経路です。巧妙に作り込まれたメールによって、ユーザーを誘導し、マルウェアを配信するドキュメントを開かせたり、リンクをクリックさせたりします。パッチが適用されていないインターネットに公開されているサービスや、盗まれた認証情報を悪用することも、その他のよくある侵入経路です。

「パス・ザ・ハッシュ」とは何ですか？また、それがどのように横方向の移動を可能にするのでしょうか？

「パス・ザ・ハッシュ」とは、取得したパスワードハッシュを再利用し、平文のパスワードを一切必要とせずに別のシステムへの認証を行う手法です。多くのシステムがハッシュをそのまま受け入れるため、ハッシュを盗み出した攻撃者は、ネットワーク上の別の場所でそのユーザーになりすますことができます。

マイクロセグメンテーションは、どのようにしてラテラルムーブメントを阻止するのでしょうか？

マイクロセグメンテーションは、ネットワークを小さく隔離されたゾーンに分割し、ゾーン間でポリシーを適用するため、侵害されたデバイスは、そのゾーンで許可されているシステムにしかアクセスできなくなります。あるセグメントにいる攻撃者は、別のセグメントにあるホストに自由にアクセスすることはできません。

すべてのデバイスにエージェントをインストールしなくても、横方向の移動を検知することは可能でしょうか？

はい。ネットワークレベルのインライン検査では、ホスト間のトラフィックを監視し、そこから生じる挙動（認証情報の収集を示すシグネチャ、異常なイースト・ウエスト通信、転送中のマルウェアなど）を検知するため、検出は各デバイスにエンドポイントエージェントがインストールされているかどうかに依存しません。

横方向の移動についてさらに詳しく

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

「横移動」について調べているなら、次はこれらもぜひチェックしてみてください。