ラテラルムーブメントとは — 横展開の兆候と封じ込めの確認

ラテラルムーブメントとは：別の資産へアクセスを広げる行動

ラテラルムーブメントは、侵入した端末やアカウントから別の資産へアクセスを広げる行動です。正規の管理プロトコルや資格情報が利用されることもあるため、ツール名だけで判断できません。

対象は情シス、SOC、Windows・サーバー管理者です。侵入や認証情報の取得・再利用を行わず、認証・通信・操作の記録をつなぎ、拡大を抑える判断を学びます。

• 認証

  利用者、端末、成功・失敗、通常と違う接続先。

• 管理通信

  起点・宛先・接続経路と承認された作業の照合。

• 操作

  サービス・権限・設定の変更と、その後のデータ利用。

関連する概念と防御上の意味

概念	理解すること	防御で確かめること
Pass-the-Hash	特定の認証情報が再利用されるリスク	資格情報の保護、管理者の使い回し、認証経路
Kerberoasting	サービスアカウントの秘密が推測されるリスク	アカウントの管理方式、権限、認証設定、通常と違う要求
DCSync	ディレクトリの複製権限が悪用されるリスク	複製権限の所有者と、正規のDC以外からの活動
Living off the Land	正規機能が不正目的で使われるリスク	正規作業との照合、端末・通信・操作の関連

特定の肩書き・ロールだけで権限を判断しません。DCSyncに関係するのは複製に必要な有効権限であり、Domain Adminだけが論点ではありません。具体的なチケット取得・ハッシュ取得・解読手順は扱いません。

正規の管理作業とどう見分けるか

新しいサービス、リモート管理通信、管理ツールの実行は、保守でも発生します。承認された作業の対象・時間・担当者・管理端末と照合します。

不審な認証成功の直後に、普段利用しない複数端末へのアクセスや未承認の権限変更が続けば、関連事象として調査します。単一のイベントIDやプロセス名だけで攻撃を確定せず、監査設定や記録の欠損も確認してください。ログの読み方が基礎になります。

予防の確認チェックリスト

• 管理通信を必要な端末・経路へ制限しているか。
• 管理者の秘密を複数端末で不要に使い回していないか。
• サービスアカウントの所有者・有効権限・管理方式が明確か。
• OS・認証設定・端末保護の更新を確認したか。
• 権限変更と管理操作のログが保持されているか。
• 隔離、失効、代替管理経路の手順を演習したか。

特定の文字数や暗号方式の強制だけで完了とはしません。互換性と公式の構成指針を確認し、担当者が変更・再確認を管理します。ゼロトラストとサービスアカウントの棚卸しへ進めます。

疑いがある時の初動・記録

起点端末、利用アカウント、接続先、観測時刻・タイムゾーン、承認された作業、根拠ログをまとめます。責任者へ連絡し、インシデント対応に沿って端末の隔離、資格情報・セッションへの対処、接続制限を判断します。

隔離した1台だけで完了とせず、同じ資格情報の利用先と関連端末を確認します。未知のツールを入れて「攻撃できるか」を試さない、証跡を削除しない、秘密の値をチケットへ載せないことが重要です。