ラテラルムーブメント（横展開）とは？侵入後のネットワーク内移動をわかりやすく解説【IPA試験対策】

対象試験と出題頻度

ラテラルムーブメント（Lateral Movement）は、情報セキュリティマネジメント試験・基本情報技術者試験・応用情報技術者試験で出題される可能性がある用語です。

頻出度はランクC（余裕があれば覚える）ですが、情報セキュリティマネジメント試験のシラバスver4.0で追加された比較的新しい用語であり、今後の出題が予想されます。

用語の定義

ラテラルムーブメント（Lateral Movement）とは、一言で言うと「攻撃者がネットワークに侵入した後、内部を『水平方向（横方向）』に移動しながら、侵害範囲を段階的に拡大していく攻撃手法」のことです。「水平展開」「横展開」とも呼ばれます。

「ラテラル（Lateral）」は英語で「横の」「側面の」という意味です。攻撃者がネットワーク内を「縦」ではなく「横」に移動するイメージから、この名前がつきました。

イメージとしては、「泥棒が一度建物に侵入した後、1階の部屋から隣の部屋へ、そしてまた隣の部屋へと移動しながら、最終的に金庫室にたどり着く」ようなものです。
最初に侵入する場所は必ずしも重要な場所ではありませんが、そこを足がかりにして、より価値のある目標（機密情報、管理者権限など）へと近づいていきます。

解説

ラテラルムーブメントは、APT攻撃（高度で持続的な脅威）やランサムウェア攻撃でよく使われる手法です。

攻撃者は最初から重要なシステムを直接狙うのではなく、まずセキュリティの弱い端末（従業員のPCなど）に侵入し、そこを「踏み台」にして内部ネットワークを探索します。

この攻撃手法が厄介なのは、「正規のユーザーになりすまして行動する」点にあります。攻撃者は従業員のアカウント情報を盗み、そのアカウントを使って他のシステムにアクセスします。正規ユーザーの認証情報を使っているため、セキュリティシステムからは「通常の業務活動」に見え、検知が非常に困難です。

ラテラルムーブメントの具体的な流れ

攻撃者がネットワークに侵入してから目標に到達するまでの流れを、もう少し詳しく見てみましょう。

• ①初期侵入：フィッシングメール、マルウェア感染、VPNの脆弱性悪用などで、組織のネットワークに最初の足がかりを確保。この時点では一般従業員のPCなど、それほど重要でない端末が標的になることが多い。
• ②ネットワーク偵察：侵入した端末から、ネットワーク構造を調査。どこに重要なサーバーがあるか、どのアカウントが高い権限を持っているかを特定する。
• ③認証情報の窃取と権限昇格：キーロガー、パスワードダンプツールなどで認証情報を盗む。「Pass-the-Hash」などの手法で、パスワードそのものを知らなくても他のシステムに認証できるテクニックも使われる。
• ④横移動（ラテラルムーブメント）：盗んだ認証情報を使い、リモートデスクトップ（RDP）、SSH、PowerShellなどの正規の管理ツールを悪用して、ネットワーク内を水平移動。最終目標である機密情報や基幹システムに到達する。
• ⑤目的の達成：機密情報の窃取、ランサムウェアの展開、システムの破壊など、攻撃者の最終目的を実行。

ラテラルムーブメントへの主な対策

この攻撃手法への対策は、「侵入を防ぐ」だけでなく、「侵入された後の被害拡大を防ぐ」視点が重要です。

• 多要素認証（MFA）の導入：パスワードだけでなく、スマートフォンや生体認証など複数の要素で認証。認証情報が盗まれても不正ログインを防止できる。
• 最小権限の原則：各ユーザーには業務に必要最小限の権限のみを付与。管理者権限を持つアカウントを厳格に管理し、攻撃者が高い権限を獲得しにくい環境を作る。
• ネットワークセグメンテーション：ネットワークを機能別・重要度別に分割し、セグメント間の通信を制限。横移動の範囲を限定する。
• EDR（Endpoint Detection and Response）の導入：端末の挙動をリアルタイムで監視し、不審な活動を検知。攻撃の早期発見と封じ込めを可能にする。
• ゼロトラストセキュリティ：「すべてを疑い、継続的に検証する」アプローチ。内部ネットワークであっても信頼せず、常に認証・認可を要求する。

試験ではこう出る！

ラテラルムーブメントは、情報セキュリティマネジメント試験のシラバスver4.0で追加された用語です。APT攻撃やランサムウェア攻撃の仕組みを問う問題で、攻撃の一段階として登場する可能性があります。

【確認テスト】理解度チェック

ここまでの内容を理解できたか、簡単なクイズで確認してみましょう。