【らてらるむーぶめんと】
ラテラルムーブメント とは？
最終更新:
💡 侵入した場所から、別のシステムへアクセスを広げる
攻撃者が侵入後、別の端末・サーバ・クラウドサービスなどへアクセスし、操作できる範囲を広げる動き。盗んだ認証情報や正規のリモート管理機能などが悪用される。
📌 このページのポイント
ひよこ 横移動って、権限昇格とは違うの？
ペンギン先生 横移動は別のシステムへアクセスを広げる動き、権限昇格はより高い権限を得る動きだよ。目的が違うけれど、攻撃では組み合わされることもある。社内の端末だけでなく、クラウドサービスへの移動も含めて考えるんだ。
ひよこ なぜ別のシステムへ移るの？
ペンギン先生 最初の侵入先に目的の情報があるとは限らないからだよ。たとえば端末に侵入したあと、機密資料のあるサーバへアクセスしようとする。MITRE ATT&CKでは、この目的をLateral Movementという戦術に整理しているんだ。
ひよこ どうやって移るの？
ペンギン先生 盗んだ認証情報でリモートサービスへ接続したり、別のシステムの脆弱性を悪用したりするよ。正規の管理機能を使う場合もあり、単に接続が成功したという記録だけでは、業務か攻撃かを判断できないんだ。
ひよこ ログから見つけられる？
ペンギン先生 接続元・接続先・使われたアカウントや、その後の操作を関連付けて調べるよ。普段と異なるアクセスは調査の手がかりになる。ただし、異常な接続が見つかっただけで攻撃と確定するわけではないんだ。
ひよこ ネットワークを分ければ防げる？
ペンギン先生 分離と通信の制限は、攻撃者が到達できる範囲を抑える対策になるよ。でも許可された経路や盗まれた権限が悪用される可能性もある。不要な通信や権限を減らし、認証情報の管理と監視を組み合わせて考えるんだ。
もっと詳しく知りたい人へ
Pass the Hashは、パスワードハッシュを盗むこと？
盗む行為そのものとは区別します。Pass the Hashは、盗まれたパスワードハッシュを使い、平文のパスワードを知らずにユーザーとして認証する手法です。ハッシュの取得は認証情報へのアクセス、取得したハッシュの利用は別の段階です。
まとめ：ざっくりこれだけ覚えればOK！
「ラテラルムーブメント」って出てきたら「侵入後に別のシステムへアクセスを広げる動き」と思えればだいたいOK！
📖 おまけ：英語の意味
「Lateral Movement」 ＝ 横方向の移動
💬 Lateral（横方向の）+ Movement（移動）。攻撃者が別のシステムへ渡り歩くイメージだよ