ラテラルムーブメント とは？

いい着眼点だね。縦方向は「権限昇格」といって管理者権限を奪うことを指すんだ。ラテラルムーブメントは横方向、つまり同じネットワーク内の別のパソコンやサーバに次々と移動していくことだよ。

攻撃者が最初に侵入できるのは、たいてい一般社員のパソコンなんだ。でも本当に欲しいのは機密データがあるファイルサーバや、顧客情報があるデータベースだよね。だから社内ネットワーク内を横に移動して、目的のサーバまでたどり着こうとするんだよ。

代表的な手口は、まず侵入した端末からメモリ上のログイン情報を盗み出すんだ。Windowsだとパスワードハッシュを抜き取る「Pass the Hash」という手法が有名で、そのハッシュを使って隣のサーバに正規ユーザーとしてログインしてしまうんだよ。

その通りで、攻撃者はRDPやPowerShellなど正規の管理ツールを使うから、ログを見ても普通の業務操作と区別がつきにくいんだ。だからEDRやSIEMで「普段アクセスしない端末への接続」「短時間に複数サーバへのログイン」など異常パターンを検知する仕組みが重要だよ。

一番効果的なのはネットワークのマイクロセグメンテーションだよ。部署やシステムごとにネットワークを細かく区切って、たとえ1台が侵入されても隣のセグメントに移れないようにするんだ。ゼロトラストの考え方で「社内だから安全」という前提を捨てることが大切だね。

よく知ってるね。MITRE ATT&CKフレームワークでは攻撃の14のタクティクスの1つとして「Lateral Movement」が定義されていて、具体的な手法がT1021（リモートサービス）やT1550（代替認証情報の利用）などとして体系化されているよ。防御側はこのフレームワークを参考に検知ルールを作るんだ。