ラテラルムーブメント対策とは？侵入後の横移動を止める打ち手と検知・防御の使い分けを解説

ランサムウェアや標的型攻撃の被害では、攻撃者が最初の1台に侵入したあと、社内ネットワークの端末やサーバへ次々と移動して被害を広げます。この横方向の動きがラテラルムーブメント（水平移動）です。ファイアウォールやVPNといった境界の守りをすり抜けられる前提に立つと、問われるのは「侵入されたあと、社内で広がる動きをどう止めるか」です。

対策として挙がる手段は、多要素認証や特権IDの管理、ネットワークの分割、EDR・NDR（端末やネットワークの監視・検知）といった検知の仕組みなど数多くあります。ただ、種類が多いだけに「結局どれが自社に必要なのか」「何から着手すればよいのか」が整理しづらいのが実情です。

本記事では、ラテラルムーブメントを止める対策の全体像をまず一覧で示したうえで、各対策が「検知のための手段か、防御のための手段か」「攻撃のどの段階で効くか」を1枚の表で整理します。そのうえで、EDR・NDR・ITDR・マイクロセグメンテーションの守備範囲の違いと使い分け、自社の現状に応じた着手の優先順位までを一通り解説します。

社内セキュリティの打ち手を検討する際の判断材料としてご活用ください。

ラテラルムーブメントとは

ラテラルムーブメントとは、攻撃者がネットワーク上の端末やアカウントを次々と乗り換えながら、目的のシステムへ到達するために使う一連の手口を指します。最初に侵入した1台を足場に、ネットワークを探索して標的を見つけ、複数のシステムやアカウントを経由して権限や情報へアクセスを広げていきます。

セキュリティの標準フレームワークであるMITRE ATT&CKでも、独立した戦術カテゴリ「Lateral Movement（TA0008）」として定義されています。

出典・参考資料（1件）

• 出典：Lateral Movement, Tactic TA0008｜MITRE ATT&CK（https://attack.mitre.org/tactics/TA0008/）

ラテラルムーブメントが問題になるのは、ファイアウォールやVPNで境界を固める従来型の守りだけでは、いったん内部に入られたあとの横移動を止めきれないからです。NIST（米国国立標準技術研究所）もゼロトラストに関する文書のなかで、境界型のネットワークセキュリティの限界を次のように明記しています。

Perimeter-based network security has also been shown to be insufficient since once attackers breach the perimeter, further lateral movement is unhindered.

NIST SP 800-207「Zero Trust Architecture」（https://nvlpubs.nist.gov/nistpubs/specialpublications/NIST.SP.800-207.pdf）

「攻撃者が境界を突破すると、その後の横移動は妨げられない」という指摘です。侵入そのものを完全には防げないと考え、侵入されたあとに内部で起きる動きを捉え、広がりを食い止める。この発想が、ラテラルムーブメント対策の出発点になります。

攻撃の流れ

ラテラルムーブメントは、侵入後におおむね次の流れで進みます。各段階は、MITRE ATT&CKの戦術カテゴリに対応づけて捉えると整理しやすくなります。

1. 初期侵入と偵察：フィッシングや脆弱性の悪用で最初の1台を乗っ取り、ネットワーク内の構成や到達できる資産を調べます（偵察＝Discovery、TA0007）。
2. 認証情報の窃取と権限昇格：端末に残る資格情報やハッシュを盗み、より強い権限のアカウントを奪います（認証情報へのアクセス＝Credential Access／権限昇格＝Privilege Escalation、TA0006・TA0004）。盗んだ資格情報をそのまま使って認証を突破する「パス・ザ・ハッシュ」などの手口がこの段階にあたります。
3. 横移動の実行：奪った権限で、リモートデスクトップ（RDP、T1021.001）やSMBのWindows管理共有（admin$、T1021.002）経由のリモートサービス、WMIなどを使って他の端末・サーバへ移動します。盗んだKerberosチケットをそのまま使って認証を突破するPass-the-Ticket（T1550.003）のように、正規の認証や通信に紛れる手口も使われ、目的の情報や基盤へ近づきます（横移動＝Lateral Movement、TA0008）。

この横移動は、ランサムウェアが社内へ被害を広げる前段としても使われます。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2025」でも、組織向けの脅威の1位は「ランサム攻撃による被害」です。侵入後に内部で静かに広がる動きを止められるかどうかが、被害規模を大きく左右します。

出典・参考資料（3件）

• 出典：Enterprise Tactics（Discovery TA0007 / Credential Access TA0006 / Privilege Escalation TA0004 / Lateral Movement TA0008）｜MITRE ATT&CK（https://attack.mitre.org/tactics/enterprise/）
• 出典：Remote Services（T1021：Remote Desktop Protocol T1021.001 / SMB・Windows Admin Shares T1021.002）／Use Alternate Authentication Material（T1550：Pass the Ticket T1550.003）｜MITRE ATT&CK（https://attack.mitre.org/techniques/T1021/）
• 出典：情報セキュリティ10大脅威 2025｜IPA（https://www.ipa.go.jp/security/10threats/10threats2025.html）

ラテラルムーブメント対策の全体像

ここからは、ラテラルムーブメントを止めるために取りうる対策を、まとめて一覧で押さえます。大きく分けると、攻撃者の移動そのものを防ぐ「防御」の手段と、移動の兆候を見つける「検知」の手段、そして対応の体制に整理できます。

• 認証情報・特権IDの管理と多要素認証（MFA）：盗まれた資格情報だけでは移動できないようにする防御策です。管理者権限などの特権アカウントは利用を限定・監視し、重要な認証には多要素認証を課します。MITRE ATT&CKは、多要素認証（M1032）をリモートサービスの悪用（T1021）の、特権アカウント管理（M1026）をパス・ザ・ハッシュ（T1550.002）の緩和策として挙げています。
• 最小権限・アクセス制御：各アカウントに業務で必要な最小限の権限だけを与え、到達できる範囲を狭めます。奪われたアカウント1つで動ける範囲が小さいほど、横移動は進みにくくなります（MITRE ATT&CKのユーザーアカウント管理＝M1018）。
• ネットワークの分割・マイクロセグメンテーション：ネットワークを小さな区画に分け、区画をまたぐ通信を制御して横移動の経路自体を断ちます。MITRE ATT&CKのネットワークセグメンテーション（M1030）は、横移動を制限し、社内の東西（サーバ間・端末間）通信をファイアウォールで制御する手段として説明されています。
• 社内通信・端末の監視と検知（EDR・NDR・ITDR・UEBA）：防御をすり抜けた動きを早期に見つけるための検知策です。端末上の不審な挙動を見るEDR、社内を流れる通信を見るNDR、認証基盤の悪用を見るITDR、利用者や機器の普段と違う振る舞いを見るUEBAなどがあります。横移動の検知には、ログやイベントログの監視が欠かせません。
• インシデント対応体制の整備：検知したあとに、誰が・どの手順で封じ込め・調査・復旧を進めるかを決めておく運用面の備えです。手順や連絡体制を事前に決めておくほど、検知から対応までの手戻りが減ります。

これらの対策は、どれか1つで完結するものではありません。防御で経路を狭め、検知で見逃しを拾い、体制で素早く対応する。役割の異なる手段を重ねることで、横移動が通り抜けられる隙間を減らしていきます。

出典・参考資料（4件）

• 出典：Multi-factor Authentication, M1032｜MITRE ATT&CK（https://attack.mitre.org/mitigations/M1032/）
• 出典：Privileged Account Management, M1026｜MITRE ATT&CK（https://attack.mitre.org/mitigations/M1026/）
• 出典：User Account Management, M1018｜MITRE ATT&CK（https://attack.mitre.org/mitigations/M1018/）
• 出典：Network Segmentation, M1030｜MITRE ATT&CK（https://attack.mitre.org/mitigations/M1030/）

検知か防御か、攻撃のどの段階に効くか

対策の数が多く見えるのは、それぞれ「見ている場所」も「果たす役割」も違うからです。ここでは主な対策を、攻撃者の移動を未然に止める防御の手段か、移動の兆候を見つける検知の手段かで分け、あわせて主に効く攻撃段階と対象のレイヤー（端末・ネットワーク・認証）を一覧にします。自社の対策がどこに偏り、どこが空いているかを見るための地図として使えます。

分類は、攻撃者の移動を未然に止める「防御」か、兆候を見つける「検知」かで整理したものです。インシデント対応体制は運用面の備えのため、検知・防御の分類とは別に扱います。

検知と防御を分けて捉える見方は、MITRE ATT&CKの構造にも対応します。MITRE ATT&CKでは、攻撃を未然に抑える「緩和策（Mitigations）」と、兆候を見つける「検知（Detection）」が別のカテゴリとして提供されており、防御策と検知策はもともと役割の異なるものとして整理されています。

検知側の裏づけとしては、JPCERT/CCが横移動の検知を主題にした報告書（英題「Detecting Lateral Movement through Tracking Event Logs」）を公開しており、攻撃ツールの実行時にどのようなログが残るか、どう設定すれば十分な情報を含むログを取得できるかをまとめています。横移動の検知が、ログやイベントログの監視を土台にすることがうかがえます。

出典・参考資料（2件）

• 参考資料：Enterprise Mitigations｜MITRE ATT&CK（https://attack.mitre.org/mitigations/enterprise/）
• 出典：インシデント調査のための攻撃ツール等の実行痕跡調査に関する報告書（Detecting Lateral Movement through Tracking Event Logs）｜JPCERT/CC（https://www.jpcert.or.jp/research/ir_research.html）

EDR・NDR・ITDR・マイクロセグメンテーションの使い分け

横移動対策として名前が挙がる技術のうち、特に迷いやすいのがEDR・NDR・ITDR・マイクロセグメンテーションです。いずれも「横移動に効く」と語られますが、見ているレイヤーが異なり、得意なことと穴になりやすいことも違います。ここでは、それぞれが何を守備範囲にするかを整理します。先に結論を言えば、どれか1つが万能なのではなく、重ねて使うことで隙間を塞ぐ関係にあります。

EDR（端末層）

EDR（Endpoint Detection and Response）は、PCやサーバといった端末上のプロセスやファイル操作を監視し、不審な挙動を検知して隔離・対応まで行う仕組みです。横移動では、攻撃者が足場にした端末や、移動の中継に使う端末の動きを押さえられます。一方で、EDRを導入できない機器や、端末の外を流れる通信そのものは、EDR単体では見えにくい領域になります。

NDR（ネットワーク層）

NDR（Network Detection and Response）は、社内を流れる通信、とりわけサーバ間・端末間の東西通信を監視し、横移動に伴う不審な通信を検知します。EDRを入れられない機器も通信の形で捉えられるのが強みです。ただし主眼は検知であり、通信の遮断や経路の封鎖といった防御は、マイクロセグメンテーションなど別の手段が担います。検知と防御の役割が分かれている点は、前の表のとおりです。

ITDR（認証・アイデンティティ層）

ITDR（Identity Threat Detection and Response）は、Active Directoryなどの認証基盤を対象に、認証情報の窃取や特権の濫用といったアイデンティティ面の脅威を検知・対応する考え方です。攻撃者が「認証を突破して横移動する」局面に対応します。

なお、ITDRはMITRE ATT&CKのような公的フレームワークの用語ではなく、ベンダーや調査会社が用いる製品分類です。守備範囲としては、認証情報へのアクセス（Credential Access）や盗んだ資格情報の悪用（T1550）に対応し、認証を経ない通信は対象外になります。

マイクロセグメンテーション（通信制御層）

マイクロセグメンテーションは、ネットワークをより細かい単位に分割し、区画をまたぐ通信を必要な分だけに絞ることで、横移動の経路そのものを遮断する防御策です。MITRE ATT&CKのネットワークセグメンテーション（M1030）も、ソフトウェア定義ネットワーク（SDN）を使った区画化で横移動を防ぐ手段として挙げています。

検知ではなく経路の封鎖を担う一方、どの通信を許可するかの設計と運用に手間がかかる点が前提になります。

このように、EDRは端末、NDRはネットワーク、ITDRは認証、マイクロセグメンテーションは通信制御と、守る面がそれぞれ異なります。これらに加え、利用者や機器の振る舞いを層をまたいで分析するUEBAは、各層の検知を補う役割を果たします。認証基盤に的を絞るITDRに対し、UEBAは振る舞い全般を広く見る点が違いです。

1つの技術だけでは必ず死角が残るため、自社に欠けている面を見極めて組み合わせることが、横移動を通しにくくする近道になります。

自社は何から対策に着手すべきか

対策の全体像が見えても、すべてを一度に整えるのは現実的ではありません。ここでは、限られた体制でも進めやすい着手の順序を、現状に応じた考え方として示します。

1. まず基本の認証統制から：多要素認証、特権アカウントの管理、最小権限の徹底は、追加の専用製品なしでも着手しやすく、横移動の起点になる認証情報の悪用に広く効きます。NISTもゼロトラストの初手として、必要な人に必要なだけ権限を絞ること（最小権限）を挙げています。
2. 次に端末の検知（EDR）を固める：横移動は端末を足場にするため、端末上の不審な挙動を捉えるEDRは早い段階で効果を実感しやすい層です。すでにEPP（従来型のエンドポイント保護）だけの場合は、検知・対応まで踏み込むEDRへの強化が候補になります。
3. 社内通信の可視化（NDR）で面を塞ぐ：端末に入れられない機器や、端末の外を流れる横移動の通信は、EDRだけでは見えません。社内の東西通信を可視化するNDRを加えることで、見えていなかった層をカバーできます。

通信を細かく制御するマイクロセグメンテーションや、認証基盤の悪用を検知するITDRは、設計・運用の負荷が相応にかかります。基本の統制と検知層が整ったうえで、通信経路を物理的に絞りたい環境や、認証の悪用が特に懸念される環境が次に検討する層と位置づけると無理がありません。

また、検知した後に誰がどう封じ込め・調査・復旧を進めるかというインシデント対応体制は、検知層の整備と併走で固めておきます。横移動は短時間で進むため、検知してから動き出す速さが被害規模を左右します。

この順序は、自社の現状によって変わります。認証統制や端末対策がすでに整っているなら、次の焦点は「社内の内部通信が見えているか」です。境界の守りやEPPは導入済みでも、サーバ間・端末間の通信までは可視化できていない組織は少なくありません。横移動はまさにその見えていない内部で進むため、どこが空いているかを確かめたうえで優先順位をつけることが、投資の説明にも役立ちます。

出典・参考資料（1件）

• 出典：NIST SP 800-207「Zero Trust Architecture」｜NIST（https://nvlpubs.nist.gov/nistpubs/specialpublications/NIST.SP.800-207.pdf）

社内通信の可視化と端末の検知で守りの層を補う

ここまで見てきたとおり、ラテラルムーブメント対策では、認証統制や防御に加えて「社内通信の可視化（NDR）」と「端末の検知（EDR）」という検知の層が欠かせません。自社でこの層が手薄だと感じた場合の選択肢として、MCB FinTechカタログに掲載している検知層のサービスを2つ、例として紹介します。

1. Network Blackbox（株式会社クワッドマイナージャパン）

Network Blackboxは、ネットワークを流れるパケットを収集・保存して分析するNDR（ネットワーク検知・対応）プラットフォームです。トラフィックをミラーリングで取り込み、フルパケットを保存する点が特徴で、社内の通信に現れる異常を検知するとともに、保存した通信をさかのぼって調べられます。

検知方式は、おもに3つの手法を備えます。既知の攻撃を捉えるシグネチャベースの検知、利用者の行為を普段のパターンと比較して異常を見つける振る舞い検知、そしてファイルや内容を再構成してマルウェアや情報の外部流出を捉えるコンテンツ分析です。複数の異常な通信を関連づけてAPT（高度標的型攻撃）のような複雑な脅威を見つけるシナリオベースのハンティングや、MITRE ATT&CKへの対応もうたわれています。

EDRやSIEM（ログを集約して分析する仕組み）とは、置き換えではなく連携して使う補完的な位置づけです。端末の内部操作など通信に現れない事象は対象外のため、EDRなどとの併用が前提になります。

Network Blackbox以外のNDR製品も視野に入れ、検知方式・国内サポート・費用といった観点で横断的に見比べたい場合は、NDR全体を比較した以下の記事が参考になります。

2. Eye”247″ Safety Zone（株式会社フーバーブレイン）

Eye”247″ Safety Zoneは、EPP（従来型のエンドポイント保護）とEDRを組み合わせたエンドポイントセキュリティソフトです。Bitdefenderと共同開発した検知エンジンを採用し、アプリケーションの動作を常時監視する振る舞い検知や、機械学習ベースの検知を備えます。

EDR機能として、端末上の不審な挙動の検知、ログの収集・調査・分析、マルウェアの駆除・復旧の支援を行います。横移動では、攻撃者が足場や中継に使う端末側の動きを押さえる役割を担います。ランサムウェア対策として動作を監視しファイルを自動でバックアップする機能や、Webアクセスの制御・フィッシングサイトの自動ブロックといったネットワーク保護も備えます。端末の層を固めたい場合の選択肢になります。

まとめ

ラテラルムーブメント対策は、「認証情報・特権IDの管理とMFA」「最小権限・アクセス制御」「ネットワークの分割・マイクロセグメンテーション」といった防御と、「EDR・NDR・ITDR・UEBAによる検知」、そして「インシデント対応体制」という役割の異なる手段の組み合わせで考えるのが基本です。

どれか1つで完結する万能策はなく、各手段が検知と防御のどちらを担い、攻撃のどの段階・どのレイヤーに効くかを押さえることが、過不足のない備えにつながります。

進め方は、基本の認証統制を固め、端末の検知（EDR）、社内通信の可視化（NDR）へと、自社で空いている層を順に補うのが現実的です。どの層が手薄かを見極め、優先順位をつけて補いましょう。各サービスの詳しい機能や料金は、資料をまとめて取り寄せて見比べてみてください。

よくあるご質問（FAQ）

Q. ラテラルムーブメント（水平移動）とは何ですか？

A. ラテラルムーブメント（水平移動）とは、攻撃者が社内ネットワークに侵入したあと、端末やアカウントを次々に乗り換えながら目的のシステムへ到達しようとする一連の手口です。最初に侵入した1台を足場に、ネットワークを探索して権限や情報へのアクセスを横方向に広げていきます。

セキュリティの標準フレームワークであるMITRE ATT&CKでも、独立した戦術カテゴリ「Lateral Movement（TA0008）」として定義されています。

Q. ラテラルムーブメントは、なぜファイアウォールやVPNなどの境界防御だけでは防げないのですか？

A. ラテラルムーブメントが境界防御だけで防げないのは、ファイアウォールやVPNは社外と社内を隔てる境界を守る仕組みで、いったん内部に入られたあとの社内（東西）通信は素通りになりやすいためです。NIST（米国国立標準技術研究所）もゼロトラストの文書で「攻撃者が境界を突破すると、その後の横移動は妨げられない」と指摘しています。

侵入そのものを完全には防げない前提に立ち、侵入後に社内で広がる動きを検知して食い止める発想が、対策の出発点になります。

Q. 専任担当が少ない中小企業は、ラテラルムーブメント対策を何から始めるべきですか？

A. 中小企業がラテラルムーブメント対策を始めるなら、多要素認証（MFA）・特権IDの管理・最小権限といった基本の認証統制から着手するのが現実的です。これらは追加の専用製品がなくても始めやすく、横移動の起点になる認証情報の悪用に広く効きます。そのうえで、端末の不審な挙動を捉えるEDR、社内通信を可視化するNDRへと、自社で空いている層を順に補っていくのが進めやすい順序です。

Q. EDRを導入していれば、ラテラルムーブメント対策としてNDRは不要ですか？

A. EDRを導入していても、ラテラルムーブメント対策としてNDRが不要になるとは限りません。EDRは端末上の挙動を、NDRは社内を流れる通信を見ており、守備範囲が異なるためです。EDRを入れられない機器や、端末の外を流れる横移動の通信はEDR単体では見えにくく、社内の東西（サーバ間・端末間）通信を監視するNDRがその層を補います。

どちらか一方が万能なのではなく、重ねて使うことで死角を塞ぐ関係にあります。

Q. ラテラルムーブメントの兆候は、どうすれば検知できますか？

A. ラテラルムーブメントの兆候は、ログやイベントログの監視を土台に、EDR（端末）・NDR（社内通信）・UEBA（普段と違う振る舞い）といった検知の仕組みを組み合わせることで捉えられます。JPCERT/CCも、攻撃ツールの実行時にどのようなログが残るか、どう設定すれば十分な情報を含むログを取得できるかをまとめた報告書を公開しており、横移動の検知がログ監視を土台にすることを示しています。

端末・ネットワーク・認証のどの層が見えていないかを確かめ、空いた層に検知の手段を重ねることが早期発見につながります。

NDR・社内セキュリティの料金・資料を一括チェック

MCB FinTechカタログでは、社内の横移動を検知するNDRをはじめ、EDRや社内セキュリティの最新資料を無料で一括請求できます。検知方式や対象レイヤー、国内サポート、費用を見比べて、自社に合う製品を効率的に選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。