ラテラルムーブメントとは？攻撃の流れ・手口と検知・防御の対策をわかりやすく解説

ランサムウェアや標的型攻撃の被害報道で「ラテラルムーブメント」という言葉を目にする機会が増えました。攻撃者が社内ネットワークに侵入したあと、端末から端末へと横に移動して被害を広げていく動きを指しますが、「侵入後に横に動く」という漠然とした理解のままでは、自社で何に備えればよいのか判断がつきません。

境界を守る対策だけでは、いったん社内に入り込んだ攻撃者の横移動を止めきれません。侵入を前提に、ネットワーク内部で起きる動きをどう捉え、どう防ぐかが問われます。

本記事では、ラテラルムーブメントの意味と攻撃の流れを具体的に解説したうえで、使われる主な手法、検知の方法、防御の対策までを一通り整理します。検知については、ネットワーク側・端末側など複数の視点の手段を整理し、ネットワーク側で横移動を検知するNDR（ネットワーク検知・対応）という選択肢にも触れます。

社内のセキュリティ対策を検討する際の判断材料としてご活用ください。

ラテラルムーブメントとは

ラテラルムーブメント（Lateral Movement）とは、攻撃者が社内ネットワークに侵入したあと、最初に侵入した端末を足がかりに、別の端末やサーバーへ横方向に移動してアクセス範囲と権限を広げていく行為です。日本語では「横移動」「水平移動」とも呼ばれます。

最初の侵入口は、メールの添付ファイルやフィッシングで乗っ取られた従業員のPCなど、重要度の低い末端の端末であることが多くあります。攻撃者はそこを起点に、認証情報を盗みながら権限の高いアカウントや価値の高いサーバーへと移動し、最終的には管理者権限の奪取によるネットワーク全体の掌握を狙います。

セキュリティの標準的なフレームワークであるMITRE ATT&CKでも、ラテラルムーブメントは攻撃者が用いる戦術の一つ（Lateral Movement、TA0008）として体系的に定義されています。

出典・参考資料（1件）

• 出典：Lateral Movement, Tactic TA0008｜MITRE ATT&CK（https://attack.mitre.org/tactics/TA0008/）

なぜ検知しづらく、なぜ怖いのか

ラテラルムーブメントが厄介なのは、攻撃者が盗んだ正規の認証情報や、WindowsのリモートデスクトップやPowerShellといった正規の管理ツールを使って移動するためです。マルウェア特有の不審な通信ではなく、一見すると正規の社員による正常な操作に見えるため、単純なパターン照合では見抜きにくい性質があります。

MITRE ATT&CKも、攻撃者は独自の遠隔操作ツールを持ち込むこともあれば、正規の認証情報とOS標準のツールを使ってよりステルス性の高い動きをすることもある、と説明しています。境界型の防御は、いったん突破されると内部での横移動を妨げられないという限界があり、気づいたときには複数の端末やサーバーが侵害されている状態になりがちです。

横移動が使われる代表的な攻撃

ラテラルムーブメントは、それ単独で完結する攻撃ではなく、より大きな攻撃の中で被害を拡大させる段階として使われます。代表的なものは次のとおりです。

• ランサムウェア攻撃：一台の端末を暗号化するだけでなく、横移動で基幹サーバーやバックアップまで到達し、被害を組織全体に広げてから一斉に暗号化します。
• 情報窃取・データ漏えい：侵入口から機密情報を保管するサーバーへ横移動し、価値の高いデータを探し当てて持ち出します。
• スパイ活動・APT（高度標的型攻撃）：長期間潜伏しながら横移動を繰り返し、気づかれないよう少しずつ侵害範囲を広げます。

ラテラルムーブメントの攻撃の流れ

ここからは、攻撃者が侵入後に実際どう動くのかを、段階を追って見ていきます。おおまかには、偵察から始まり、認証情報の窃取、権限の昇格、横移動の実行を経て、目的の達成に至る流れです。ただしこの順序は固定されたものではなく、攻撃者は状況に応じて各段階を行き来しながら侵害を広げていきます。

1. 偵察（ネットワーク・端末・権限の探索）

侵入した端末を起点に、ネットワークの構成や接続されている端末、利用できるアカウントの権限などを調べます。どこに価値の高い資産があり、どの経路でそこへ到達できるかを把握する段階です。

2. 認証情報の窃取

次の端末へ移動するための「鍵」となるIDやパスワードを盗み出します。MITRE ATT&CKでは、OSのキャッシュやメモリから認証情報を抜き取る手口が資格情報ダンピング（OS Credential Dumping、T1003）として定義されており、盗んだ認証情報がラテラルムーブメントや制限された情報へのアクセスに使われると明記されています。

メモリ上から認証情報を抜く代表的なツールがMimikatzです。

出典・参考資料（1件）

• 出典：OS Credential Dumping, T1003｜MITRE ATT&CK（https://attack.mitre.org/techniques/T1003/）

3. 権限昇格（特権エスカレーション）

盗んだ認証情報や脆弱性を使って、一般ユーザーの権限から、より強い管理者権限へと格上げします。管理者権限を得ると、ネットワーク上の多くの端末やサーバーへアクセスできるようになり、横移動の自由度が一気に高まります。

4. 横移動の実行

ここが「横移動」そのものにあたる段階です。1〜3で固めた足場をもとに、実際に次の端末へと移っていきます。

盗んだ正規の認証情報を使い、リモートデスクトップ（RDP）やファイル共有（SMB）などの仕組みで、次の端末やサーバーへログインして操作します。MITRE ATT&CKでは、攻撃者が正規アカウントでリモート接続を受け付けるサービスにログインし、そのユーザーとして操作するリモートサービスの悪用（Remote Services、T1021）が横移動の手法として定義されています。

出典・参考資料（1件）

• 出典：Remote Services, T1021｜MITRE ATT&CK（https://attack.mitre.org/techniques/T1021/）

5. 目的の達成

価値の高いサーバーやデータに到達したら、データの窃取、ランサムウェアによる暗号化、システムの破壊など、攻撃者本来の目的を実行します。ここに至るまでの横移動を早い段階で検知・遮断できれば、最終的な被害を大きく抑えられます。

ラテラルムーブメントで使われる主な手法

ここからは、横移動の各段階で実際に使われる主な手法を、それぞれが何をするものかとあわせて整理します。手法の名前だけを覚えるのではなく、「何のために・どう悪用されるか」を押さえると、後述する検知・防御の勘所がつかみやすくなります。表の右列は対応するMITRE ATT&CKのテクニックで、括弧内はそのテクニックが分類されている戦術です。

手法	何をする手法か	対応するMITREテクニック（戦術）
Pass the Hash（PtH）	盗んだパスワードのハッシュ値を使い、平文のパスワードを知らないまま別システムへ認証する。通常のアクセス制御を迂回する。	T1550.002（ラテラルムーブメント）
Pass the Ticket（PtT）	盗んだKerberosチケットを使い、パスワードなしで別システムへ認証する。PtHと同様に通常のアクセス制御を迂回する。	T1550.003（ラテラルムーブメント）
資格情報ダンピング（Mimikatz等）	LSASSなどのメモリやOSから認証情報（ハッシュ・平文パスワード）を抜き取る。Mimikatzが代表的なツール。	T1003（認証情報アクセス）
リモートサービスの悪用（RDP・SMB等）	盗んだ正規アカウントで、リモートデスクトップ（RDP）やファイル共有（SMB・管理共有）経由で別端末にログインし操作する。	T1021（ラテラルムーブメント）
リモートサービスのエクスプロイト	認証情報を使わず、サービスの脆弱性を突いて別システムを乗っ取る。	T1210（ラテラルムーブメント）
WMI・PowerShellの悪用	OS標準の管理ツールを悪用し、リモートでコマンドを実行する。横移動そのものではなく、横移動を容易にする正規ツールの悪用にあたる。	T1047・T1059.001（実行）

とくにPass the HashとPass the Ticketは、MITRE ATT&CKでも盗んだ認証材料を再利用して横移動し、通常のシステムのアクセス制御を迂回する手法として定義されています。これらは正規の認証の仕組みを逆手に取るため、後述するMFA（多要素認証）だけでは防ぎきれない点に注意が必要です。

出典・参考資料（1件）

• 出典：Use Alternate Authentication Material, T1550｜MITRE ATT&CK（https://attack.mitre.org/techniques/T1550/）

ラテラルムーブメントの検知方法

ここからは、「何を見れば横移動に気づけるか」を手段ごとに整理します。横移動は単一の装置だけで捉えきれるものではなく、認証ログ・ふるまい・ネットワーク・端末という複数の視点を組み合わせて初めて死角が減ります。まずは各手段が横移動のどの痕跡を・どの位置で捉えるのかを、下の表で見比べてみましょう。

検知手段	主に見るもの（捉える痕跡）	見る位置
認証ログ監視	ログイン記録の異常（深夜・連続ログイン、多数サーバーへのアクセス）	認証ログ
ふるまい分析・UEBA	普段の挙動からの逸脱（正規アカウントの不自然な使われ方）	利用者・端末のふるまい
NDR（ネットワーク検知・対応）	端末間（East-West方向）の不審な通信	ネットワーク側
EDR・XDR	端末上の不審なプロセス・コマンド実行（XDRは複数領域を相関）	エンドポイント側

以下では、各手段が何を手がかりに横移動を捉えるのかを順に補足します。

認証ログ・ログインアクティビティの監視

横移動は正規の認証情報を使うため、ログイン記録に痕跡が残ります。普段使われないアカウントが深夜に複数の端末へ連続してログインする、一つのアカウントが短時間に多数のサーバーへアクセスするといった挙動は、横移動のサインになり得ます。まずは認証ログを収集・監視できる状態を整えることが出発点です。

複数の端末・サーバーをまたぐ動きは、ログを1か所に集約して突き合わせないと見えにくいものです。収集したログを集約・相関分析する基盤（SIEMなど）があると、散在するログインの異常を横断的に捉えやすくなります。

ふるまい分析・UEBA（異常なアカウント挙動の検知）

UEBA（User and Entity Behavior Analytics、ユーザーとエンティティの行動分析）は、利用者や端末の「普段の挙動」を学習し、そこからの逸脱を異常として検知する仕組みです。パターン照合では見抜きにくい、正規アカウントの不自然な使われ方を捉えるのに向いており、盗まれた認証情報による横移動の発見に役立ちます。

ネットワークトラフィック分析＝NDR（端末間の横移動をネットワーク側で検知）

NDR（Network Detection and Response）は、社内ネットワークを流れる通信そのものを分析し、端末間の不審なやり取りから横移動を検知する仕組みです。横移動は端末と端末の間（East-West方向）の通信として現れますが、境界を守るファイアウォールや、端末側に入れるEDRだけでは、この内部の横断的な通信を十分に捉えきれないことがあります。

NDRは、EDRを導入しづらいサーバーやIoT・OT（制御システム）機器も含めてネットワーク全体の通信を監視できるため、エンドポイント側の検知を補い、横移動の見落としを減らす役割を担います。端末側の対策では死角になりやすいネットワーク内部の通信から横移動そのものを捉えられる点が、NDRならではの持ち場です。

EDR・XDR（エンドポイント側の検知。NDRとの棲み分け）

EDR（Endpoint Detection and Response）は、PCやサーバーなど端末そのものの挙動を監視し、不審なプロセスやコマンド実行を検知します。XDR（Extended Detection and Response）は、エンドポイントに加えてメールやクラウドなど複数の領域のデータを束ねて相関的に検知する仕組みです。

EDR・XDRは端末上の操作の検知に強みがある一方、EDRを入れられない機器や、端末をまたぐネットワーク上の通信は死角になりがちです。横移動はネットワークを横断して進むため、端末側のEDR・XDRと、ネットワーク側のNDRを組み合わせることで、検知の死角を互いに補い合えます。どの手段が自社に必要かは、守るべき資産と既存の対策状況によって変わります。

エンドポイント側のXDRは、どこまでの領域（メール・クラウド・ID基盤など）を束ねて相関分析するかが製品ごとに異なります。既存のEDRや他社製品との連携の仕方にも差があります。EDRとの違いや、監視範囲・連携を軸にした製品の見比べ方は、以下の記事で整理しています。

ラテラルムーブメントを防ぐ対策

ここからは、横移動を防ぐ・被害を抑えるための対策を、それぞれが横移動のどの経路を塞ぐのかとあわせて整理します。単独で万能な対策はなく、経路を断つ・認証を固める・被害を局所化するという複数の対策を重ねることが基本になります。

ネットワークセグメンテーション／マイクロセグメンテーションで経路を断つ

ネットワークを小さな区画に分割し、区画をまたぐ通信を制限することで、ある端末が侵害されても攻撃者が他の区画へ移動しにくくします。MITRE ATT&CKも、ネットワークをより小さく隔離された区画に分割することで攻撃対象領域を縮小し、攻撃者による横移動を制限できると、緩和策（M1030）として明記しています。より細かい単位で通信を制御するマイクロセグメンテーションは、この考え方を推し進めたものです。

出典・参考資料（1件）

• 出典：Network Segmentation, M1030｜MITRE ATT&CK（https://attack.mitre.org/mitigations/M1030/）

ゼロトラストアーキテクチャ（侵入前提で都度検証）

ゼロトラストは、「社内ネットワークの内側だから信頼できる」という前提を置かず、通信のたびに利用者や端末を検証する考え方です。米国国立標準技術研究所（NIST）のガイドラインSP 800-207は、ゼロトラストアーキテクチャを、データ侵害を防ぎ内部の横移動を限定するために設計された企業向けのセキュリティ設計と位置づけています。

A zero trust architecture (ZTA) is an enterprise cybersecurity architecture that is based on zero trust principles and designed to prevent data breaches and limit internal lateral movement.

出典：NIST SP 800-207 Zero Trust Architecture（2020年8月）｜NIST

同ガイドラインは、境界型のネットワークセキュリティは、いったん攻撃者が境界を突破すると以降の横移動を妨げられないため不十分である、とも指摘しています。侵入されることを前提に、内部でも都度アクセスを検証する設計が、横移動の抑止につながります。

MFA（多要素認証）と最小権限・特権アカウント管理

MFA（多要素認証）は、パスワードに加えてワンタイムコードや認証アプリなど複数の要素を要求することで、認証突破のハードルを上げます。MITRE ATT&CKも、緩和策（M1032）として多要素認証を位置づけています。

ただし、前述のPass the HashやPass the Ticketのように、盗んだ認証材料を再利用して通常のアクセス制御を迂回する手法は、MFAをすり抜ける場合があります。MFAは有効な一手ですが、それ単独で横移動を止められるわけではない点を押さえておく必要があります。

あわせて、各アカウントに必要最小限の権限しか与えない最小権限の原則や、管理者アカウントの利用を制限・監視する特権アカウント管理（M1026）も重要です。攻撃者が権限昇格に成功しても、奪える権限が限られていれば、横移動で到達できる範囲を狭められます。

出典・参考資料（2件）

• 出典：Multi-factor Authentication, M1032｜MITRE ATT&CK（https://attack.mitre.org/mitigations/M1032/）
• 出典：Privileged Account Management, M1026｜MITRE ATT&CK（https://attack.mitre.org/mitigations/M1026/）

パッチ適用・脆弱性管理と、侵害端末の早期隔離

脆弱性を突いて横移動する手口に備えるには、OSやソフトウェアへのパッチ適用と脆弱性管理を継続することが基本です。あわせて、不審な挙動を検知した端末をネットワークから速やかに切り離す仕組みを用意しておくと、横移動が始まっても被害の拡大を食い止められます。検知から隔離までの初動の速さが、被害規模を大きく左右します。

従業員教育（技術対策を補完する位置づけ）

横移動の起点となる最初の侵入は、フィッシングメールや不審なリンクのクリックから始まることが少なくありません。従業員への教育は侵入の入り口を減らすうえで有効ですが、人の注意力だけに頼るのは現実的ではありません。教育は、ここまで挙げた技術的な検知・防御を補完する位置づけとして組み合わせるのが適切です。

何から着手するか（優先順位の考え方）

これらを一度にそろえるのは難しいため、着手の順番に目安を持っておくと動きやすくなります。まずは認証ログを収集・監視できる状態を整えて自社ネットワークの現状を可視化し、次にMFAや最小権限で認証を固めます。

そのうえでネットワークセグメンテーションで移動経路を絞り、検知はエンドポイント側のEDR・XDRとネットワーク側のNDRのうち、自社に足りていない視点から補っていくと、限られた体制でも効果の高い対策から進められます。

ラテラルムーブメントの脅威を示す数字と被害事例

横移動への対策を社内で検討・説明する際に、脅威の深刻さを示す材料があると判断がしやすくなります。ここでは、横移動の速さを示す数字と、国内の実被害を一つ取り上げます。

攻撃者が最初の侵入から他システムへの横移動を開始するまでの時間は、ブレイクアウトタイムと呼ばれます。

CrowdStrikeの2026 Global Threat Report（2025年のデータ）によると、金銭目的のサイバー犯罪におけるブレイクアウトタイムの平均は29分まで短縮し、最速では27秒で横移動が始まった事例も観測されています。侵入から横移動までの時間が短いほど、防御側に残された対応の猶予は小さくなります。

同社は、この短い時間に対応するための目安として、侵入を1分以内に検知し、10分以内に調査し、60分以内に封じ込め・復旧するという1-10-60ルールを提唱しています。横移動を前提にした初動の速さが、被害を抑えるうえで重要になります。

出典・参考資料（2件）

• 出典：Lateral Movement｜CrowdStrike（https://www.crowdstrike.com/en-us/cybersecurity-101/cyberattacks/lateral-movement/）
• 出典：2026 CrowdStrike Global Threat Report（プレスリリース）｜CrowdStrike（https://crowdstrike.com/en-us/press-releases/2026-crowdstrike-global-threat-report）

国内でも、横移動を伴うランサムウェア被害は医療・自治体・製造などで繰り返し起きています。徳島県のつるぎ町立半田病院では、2021年10月31日未明に電子カルテをはじめとする院内システムがランサムウェアに感染し、カルテが閲覧できなくなりました。

通常診療の再開は2022年1月4日で、約2か月にわたり診療が制限されました。病院は2022年6月16日に有識者会議による調査報告書を公表しています。一台の端末の感染が、横移動を通じて院内システム全体の停止にまで至り得ることを示す事例です。

出典・参考資料（2件）

• 出典：つるぎ町立半田病院「コンピュータウイルス感染事案有識者会議調査報告書」の公表（https://www.handa-hospital.jp/topics/2022/0616/index.html）
• 参考資料：半田病院のランサムウェア感染に関する報道｜ScanNetSecurity（https://scan.netsecurity.ne.jp/article/2022/06/28/47803.html）

ネットワーク側で横移動を検知するNDRという選択肢

ここまで見てきたとおり、横移動は端末と端末の間の通信として進むため、ネットワーク側から内部の通信を監視するNDRが検知の要の一つになります。「自社は端末間の横移動を検知・遮断できているか」が気になった場合、NDR製品の比較検討が次の一歩になります。

ここでは、横移動の検知に効く主要なNDR製品を同じ軸で比較したうえで、検知の切り口が代表的な3製品を詳しく紹介します。より多くの製品を含めた詳しい比較は、後述の比較記事で確認できます。

1. Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、ネットワークを流れる全パケットを収集・保存して脅威を可視化するNDR製品です。フルパケットキャプチャを基盤に、収集・検知・ハンティング・フォレンジック・対応の5つの機能を備え、保存した通信をさかのぼって再構成できる点に特徴があります。

横移動が疑われた際に、いつ・どの端末間で・どんな通信が行われたかを事後に追跡・調査できるため、侵害範囲の調査と証跡の提示に役立ちます。ミラーリング方式で導入するため、既存ネットワークへの影響を抑えて監視を始められます。

2. Darktrace（Darktrace）

自己学習型AIを中核に据えるのがDarktraceです。導入先の組織ごとに「正常な挙動」を学習し、そこからの逸脱を手がかりに既知・未知の脅威を検知します。

ネットワークの挙動分析を起点に、シグネチャに依存しない異常検知で、内部不正やラテラルムーブメント、ランサムウェアといった横断的な脅威を捉えることを狙います。検知した異常はAIが自動で調査し、対処まで踏み込む自律対応の機能も備えます。パターンに当てはまらない未知の横移動を見つけたい場合に向いた選択肢です。

3. Vectra AI（Vectra AI）

Vectra AIは、ネットワークトラフィックの振る舞いをAIで分析し、社内に侵入した高度な脅威を検知・優先順位付けするNDR製品です。

ランサムウェアやラテラルムーブメント、認証情報の悪用といった攻撃者の実際の振る舞いから学習したモデルで、大量のアラートを「いま侵害が起きている箇所」へ絞り込むことを狙います。オンプレミスに加え、マルチクラウドやID基盤、Microsoft 365まで監視対象が広く、横移動がクラウドや認証基盤をまたいで進む場合にも目を届かせやすい点が特徴です。

ここで取り上げたのは代表的な3製品ですが、NDRは検知方式（全パケットを保存して遡及するタイプか、AIが平常時からの逸脱を捉えるタイプか）や国内サポート体制、費用の幅が製品ごとに大きく異なります。より多くのNDR製品を同じ軸で見比べて、自社の環境に合う一台を絞り込みたい場合は、以下の記事もあわせてご覧ください。

まとめ

ラテラルムーブメントは、社内に侵入した攻撃者が端末から端末へ横移動し、認証情報を盗みながら権限を広げて被害を拡大させる行為です。正規の認証情報やツールに紛れて進むため検知が難しく、侵入から横移動開始までの時間も年々短くなっています。

対策は、ネットワークセグメンテーションやゼロトラストで経路を断ち、MFAや最小権限で認証を固め、検知と早期隔離で被害を局所化するという複数の層を重ねることが基本です。検知の面では、端末側のEDR・XDRと、ネットワーク側で端末間の横移動を捉えるNDRを組み合わせることで死角を減らせます。自社の現状にどの手段が足りないかを見極め、比較検討の次の一歩につなげてください。

よくあるご質問（FAQ）

Q. ラテラルムーブメント（横移動）とは何ですか？

A. ラテラルムーブメント（横移動）とは、社内ネットワークに侵入した攻撃者が、最初の端末を足がかりに別の端末やサーバーへ横方向に移動し、アクセス範囲と権限を広げていく攻撃行為です。日本語では「横移動」「水平移動」とも呼ばれ、MITRE ATT&CKでも攻撃戦術の一つ（TA0008）として定義されています。

盗んだ正規の認証情報や正規の管理ツールに紛れて進むため、気づいたときには被害が広がっているケースが少なくありません。

Q. 攻撃者はなぜラテラルムーブメント（横移動）を行うのですか？

A. 攻撃者が横移動を行うのは、最初に侵入した末端の端末だけでは目的を達成できず、より価値の高いサーバーや管理者権限へ到達して被害範囲を広げる必要があるためです。ランサムウェアなら基幹サーバーやバックアップまで到達してから一斉に暗号化し、情報窃取なら機密データを保管するサーバーへ移動します。正規の認証情報やツールに紛れることで検出を避けやすくなる点も、横移動が多用される理由です。

Q. 境界型のファイアウォールやウイルス対策だけでラテラルムーブメントを防げないのはなぜですか？

A. 境界型の防御だけで横移動を防ぎきれないのは、ファイアウォールなどが社内と社外の境界を守る仕組みであり、いったん境界を突破された後に社内ネットワーク内部で端末から端末へ広がる動きまでは妨げられないためです。

横移動は盗んだ正規の認証情報やOS標準ツールを使うため、ウイルス対策のパターン照合でも検知しにくい性質があります。NISTも、境界型のネットワークセキュリティは突破後の横移動を妨げられず不十分だと指摘しており、侵入を前提に内部の通信や挙動を監視する対策が必要です。

Q. 自社でラテラルムーブメント（横移動）が起きていないかは、何を見れば気づけますか？

A. ラテラルムーブメントに気づく出発点は、普段使われないアカウントが深夜に複数の端末へ連続ログインする、一つのアカウントが短時間に多数のサーバーへアクセスするといった、認証ログ上の不自然な挙動を監視することです。横移動は正規の認証情報を使うため、ログインの記録に痕跡が残ります。

さらに、利用者や端末の普段の挙動からの逸脱を捉えるUEBAや、端末間（East-West方向）の通信を分析するNDRを組み合わせると、認証ログだけでは見えない横断的な動きまで捉えられます。

Q. ラテラルムーブメントの検知にはNDRとEDRのどちらが必要ですか？

A. ラテラルムーブメントの検知において、NDRとEDRは対立するものではなく、組み合わせて死角を補い合う関係にあります。

EDR（およびXDR）はPCやサーバーなど端末そのものの挙動を監視して不審なプロセスやコマンドを捉えるのに強く、NDRは端末と端末の間を流れる通信を分析して横移動そのものをネットワーク側で捉えます。EDRを入れられないサーバーやIoT・OT機器はNDRが監視を補い、端末上の細かな操作はEDRが補うため、守るべき資産と既存の対策状況に応じて両者を併用するのが基本です。

Q. ラテラルムーブメント対策は何から着手すればよいですか？

A. ラテラルムーブメント対策は、まず認証ログを収集・監視できる状態を整えて自社ネットワークの現状を可視化し、そのうえでMFAや最小権限で認証を固め、ネットワークセグメンテーションで移動経路を絞る、という順に層を重ねていくのが現実的です。

単独で万能な対策はないため、経路を断つ・認証を固める・被害を局所化するという複数の層を組み合わせます。検知面では、端末側のEDR・XDRとネットワーク側のNDRのうち、自社に足りていない視点から優先的に補うと、投資の効果を見極めやすくなります。

Q. 情シスの人員が限られていてもラテラルムーブメント対策はできますか？

A. 情シスの人員が限られていても、MFAや最小権限の徹底、OSやソフトウェアのパッチ適用、ネットワークセグメンテーションといった、運用負荷を大きく増やさずに移動経路や認証を固める対策から着手できます。

検知・監視の運用にリソースを割きにくい場合は、ログ監視や検知を自社だけで抱え込まず、監視を外部の専門サービス（検知から対応までを代行するMDR（マネージド検知・対応）など）に委ねる選択肢もあります。

まずは守るべき資産を絞り込み、そこへ至る経路を優先的に固めることで、限られた人員でも効果の高い対策から進められます。

Q. ラテラルムーブメントの被害を受けやすいのはどのような組織ですか？

A. ラテラルムーブメントの被害を受けやすいのは、多数の端末やサーバーを社内ネットワークで運用している組織全般で、とくに医療機関・自治体・製造業などではランサムウェアによる被害が繰り返し報告されています。

たとえば2021年には徳島県のつるぎ町立半田病院で、一台の端末の感染が横移動を通じて院内システム全体の停止にまで至り、通常診療の再開まで約2か月を要しました。端末数が多く内部ネットワークが広い組織ほど、横移動で到達される範囲が大きくなるため、内部の検知とネットワークの分割の備えが重要になります。

NDR・不正検知ソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、ネットワーク側で横移動を検知するNDRをはじめとするセキュリティソリューションの最新資料を無料で一括請求できます。検知方式や国内サポート、費用を見比べて、自社に合う製品を効率的に選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。