ある泥棒がオフィスビルに侵入する様子を想像してみてください。 彼は窓をこじ開けて中へ転がり込み、机とファイルキャビネットが置かれた小さな部屋に入りました。 そのオフィスビル自体は広大です。 泥棒が飛び込んだその部屋は、何百もある部屋のうちのたった一つに過ぎません。
その泥棒は、たまたま立っているその一室だけに、略奪の対象を限定するつもりなのでしょうか？ もちろん、そんなことはありません。 彼は、捕まることなく見つけられる限り最も価値のある品物を探し求め、建物の至る所をくまなく探り回るつもりです。
サイバー犯罪者も同様のことを行います。 彼らは、侵害されたコンピュータ上の情報を悪用して、さらなるアカウントやコンピュータを侵害し、アクセス権を取得します。これは「 （）」と呼ばれる手法であり、 （新しいタブで開きます）。
ネットワーク上の横方向の移動とは何ですか？
攻撃者は、1つのエンドポイントへのアクセス権を取得し、そこで可能な限りの悪事を働きます。 その後、彼らは調査を行い、その最初のエンドポイントやそのユーザーが、他にどのようなエンドポイントやシステムにアクセスできるのかを探ります。
彼らは、侵害されたエンドポイント上で、アプリケーションや他のエンドポイントへの認証情報をスキャンします。 見つけた認証情報を利用して、エンドポイントからエンドポイントへ、デバイスからデバイスへと、こっそりと移動していきます。
もし彼らの目的が、ランサムウェアなどのマルウェアを仕込むことであるならば、到達した各エンドポイントでそれを実行するでしょう。 もし彼らの目的が情報の窃取であるならば、目立たないように行動し、自分たちが価値あると考える情報が保存されているエンドポイントを探し回るでしょう。 その情報には、顧客記録、銀行口座情報、あるいは知的財産などが含まれる可能性があります。
攻撃による被害の程度は、攻撃者がネットワーク内をどの程度自由に移動できるかによって決まります。 横方向の移動を制限すれば、攻撃者が与えうる被害を大幅に抑えることができます。
横方向の動きを抑えるには、その仕組みを理解しておくと役立ちます。
横方向の移動は、ユーザー、グループ、およびエンドポイントの権限によって決まります
攻撃者が、エンドポイント（パーソナルコンピュータ（PC）、Mac、あるいはLinuxサーバーなど）へのアクセス権を取得したと仮定しましょう。 おそらく、そのエンドポイントを担当している従業員が、 にあるフィッシングメッセージ をクリックし、うっかりマルウェアをダウンロードしてしまったのでしょう。 あるいは、攻撃者が盗んだユーザー名とパスワードの組み合わせを使って、エンドポイントへのアクセス権を取得した可能性もあります。
いずれにせよ、攻撃者はログインに成功し、現在その最初のエンドポイント上で活動しています。 そこから攻撃者がどのような行動をとれるかは、侵害されたアカウントに付与されている権限に大きく左右されます。
ネットワーク内での横方向の移動の仕組み
攻撃者がジムのノートパソコンにアクセスし、ジムの標準ユーザーアカウントでログインしていると仮定しましょう。 ジムは自分のノートパソコンの管理者アカウントにもアクセスできるため、攻撃者はジムのユーザーアカウントを使って管理者としてログインします。
管理者権限を持つ攻撃者は、ジムのノートパソコンを完全に制御しています。 IT部門では、エンドポイント間で共有される管理者アカウントを作成することが多いため、その管理者アカウントには他のエンドポイントへのアクセス権限も付与されている可能性が高いです。
これで、攻撃者は管理者アカウントを使用して、ジムのノートパソコンからサラのデスクトップPCへと移動することができるようになります。 もしサラが他のエンドポイントのユーザーグループのメンバーである場合、攻撃者はサラとしてログインし、そのグループの権限を利用して、そのグループがアクセス可能なすべてのエンドポイントにアクセスすることができます。
もし攻撃者が、ルイスがそれらのエンドポイントのいずれかにログインしていることに気づいた場合、攻撃者はマルウェアを使用して、そのエンドポイントのメモリからルイスのログイン認証情報を読み取ろうとする可能性があります。 そうすると、攻撃者は、ルイス、あるいはルイスが所属するグループがアクセスできるあらゆるエンドポイントにアクセスできるようになります。 もしルイスが、 のWindowsドメイン (新しいタブで開きます) の管理者アカウントへのアクセス権を持っている場合、攻撃者はそのアカウントを利用して、社内のすべてのWindowsコンピュータにアクセスすることが可能になります。
攻撃者は、アカウントごと、エンドポイントごとに、このように目立たない方法でネットワーク内を移動していきます。 彼らは、自分の行動に目立たないようにするため、何時間、あるいは何日にもわたってゆっくりと移動することもあります。 あるいは、IT部門が彼らの活動を検知し、阻止するための措置を講じる前に、ネットワーク内をできるだけ遠くまで移動しようと、より迅速に動き回る可能性もあります。
ラテラル・ムーブメントを防ぐためのベストプラクティス
攻撃者はネットワーク内を移動する際にユーザーやグループの権限に依存しているため、ユーザーやグループの権限を制限することがベストプラクティスの一つとなります。
どのユーザーおよびグループの権限がすでに設定されているかを把握しておくことが重要です。 多くのIT部門は、ユーザーやグループの権限がどのように設定されているかを把握していると考えていますが、実際の権限を監査してみると、しばしば予想外の結果が明らかになります。
例えば、ある企業では、デフォルトの権限設定により、誤ってすべてのユーザーが管理者アカウントにアクセスできるようになっていました。 したがって、すべてのユーザーが会社のすべてのエンドポイントを管理していました。
ですから、もう一度確認してください。 組織の権限設定にどのようなリスクが存在するかを確実に把握できるよう、ユーザーおよびグループの権限を監査してください。
ユーザーおよびグループの権限の制限
次に、ユーザーおよびグループの権限を可能な限り制限してください。 ユーザーには、業務を行うために必要な権限のみを付与してください。 他のユーザー、グループ、エンドポイントへのアクセスを制限することで、たとえ攻撃者がエンドポイントを乗っ取ることができたとしても、アカウントからアカウントへと移動することがはるかに困難になります。
建物に侵入する泥棒の例を思い出してみてください。 もし泥棒が、ほとんどの室内ドアが施錠されており、エレベーターや階段の吹き抜けにはパスコードが必要であることを知れば、侵入による被害は最小限に抑えられるでしょう。
ユーザーやグループの権限を制限する場合も、同じ手順で行います。 エンドポイントを乗っ取った攻撃者は、大当たりしたと思うかもしれませんが、アクセス権限が制限されていることに気づけば、すぐに壁にぶつかったことに気づくでしょう。
ラテラルムーブメントは、サイバー犯罪者にとって不可欠な手法です。 ユーザー、グループ、およびエンドポイントに対する権限を監視・制限することで、その手法の効果を大幅に低下させることができます。
Taniumが貴社の組織において、サイバー攻撃における横方向の移動から防御する上でどのように役立つかについては、以下の過去の記事をご覧ください。 「Tanium Impactがサイバー攻撃における横方向の移動から企業を守る5 の方法」 （新しいタブで開きます）。
