この侵入は目立たない形で始まり、横方向の移動は見過ごされがちでした。
連邦政府系の非営利研究機関であるMITRE社内で不審な通信が断続的に確認された際、調査担当者たちは警戒を強めました。 さらに詳しく調査したところ、ある国家支援ハッカーがネットワークの境界をすり抜け、「東西方向」――つまり、 インフラストラクチャ内を横方向に移動――を容易に動き回っていたことが判明しました。 管理者の認証情報が侵害されたことで、侵入者は誰にも監視されることなく、ほとんど気づかれることなく、システム内を自由に動き回ることができました。
MITREは侵入を封じ込め、 は、把握していた情報を で公表しました。 しかし、この「 2024 」事件は、サイバー犯罪との戦いが、ファイアウォールやその他の従来のセキュリティツールが長年にわたり攻撃の防御に苦戦してきたコンピュータネットワークの境界から始まるのではなく、ハッカーがすでに内部に侵入した後に始まることが多いという事実を浮き彫りにしました。
その数週間後、チェンジ・ヘルスケアの に対するサイバー攻撃（ ）が、その点を改めて浮き彫りにしました。 ハッカーたちは、 の多要素認証（MFA）が設定されていなかったサーバーにリモートアクセスしました。。 システムに侵入すると、彼らは9日間にわたりネットワーク内を横方向に移動し、その結果、決済業務や患者ケアに数ヶ月にわたる混乱を引き起こしました。 At least 192.7 million individuals were affected by the breach.
これがいわゆる「東西」あるいは「ラテラル」トラフィックに関する懸念点です。現在、成功した侵害事例の大部分でこのトラフィックが関与しており、それが今年の RSAカンファレンス（）における主要なテーマとなりました。 ある組織が、「南北」のトラフィック、つまりネットワークへの流入・流出するデータの保護にほとんどの時間を費やしてきた一方で、内部のトラフィックに対して同様の厳格な対策を講じていない場合、その組織は危険なほど無防備な状態に置かれていることになります。
攻撃者は、短時間で甚大な被害をもたらす可能性があります。 また、ReliaQuest社の「第 2025 回年次脅威レポート」によると、ネットワークに侵入した後はその動きがさらに速くなり、横方向の移動を最短で27 分、平均で48 分で実行しているとのことです。
「サイバーセキュリティにおいて、時間は敵です」と、ReliaQuestの技術運用担当上級副社長であるマイケル・マクファーソン氏は、 の声明（）の中で述べました。 「攻撃者の動きはかつてないほど速くなっており、それゆえに、私たちの防御体制もそれに合わせてスピードアップしなければなりません。」
なぜ横方向の移動が依然として大きな脅威となっているのか
ラテラルムーブメントとは、偵察、認証情報の窃取、および脆弱性の悪用を含む、多段階のプロセスです。
「攻撃者の動きはかつてないほど速くなっており、それだけに、私たちの防御もスピードアップしなければなりません。」ReliaQuestの技術運用担当上級副社長、マイケル・マクファーソン氏
サイバー犯罪者は、 のようなフィッシング攻撃、既知の脆弱性の悪用、あるいは盗まれた認証情報の利用といった手法を用いて、ネットワークに侵入します。 その後、ネットワーク構造を調査し、デバイスをマッピングして、ユーザーの認証や権限の適用を行うドメインコントローラーや、データベースサーバーなど、攻撃対象として有望なターゲットを特定します。 最後に、彼らは を通じて やを乗っ取ったり、のデータを改ざんしたり、将来の不正行為のために認証情報を盗み出したり、あるいはキーロガーやその他の監視プログラムを仕込んで、私的な通信を盗聴したりといった手口を用います。
[関連記事：そもそも侵入者はどうやって侵入するのでしょうか？] 最近、彼らを中に入れてしまっているのはIT担当者たちです――ヘルプデスクの地獄へようこそ]
これがこれほど深刻な被害をもたらす理由は、たった1件の侵害がネットワーク全体への侵害へと発展し、攻撃者が盗んだ認証情報を用いて人目につかないまま潜伏しつつ、より重要なシステムやデータにアクセスできてしまう点にあります。 発見されない期間が長ければ長いほど、彼らは を通じて重要な資産 にアクセスし、バックドアを仕掛け、より大規模なランサムウェア攻撃やスパイ活動、その他の攻撃を展開する時間をより多く確保することになります。
横方向の移動を防ぐための3 の重要な方法
この種の攻撃がとりわけ厄介なのは、その攻撃が巧妙で、ほとんど気づかれないという点です。 ラテラルムーブメントを活用することで、攻撃者は、混雑した通りの歩行者に紛れ込んだ強盗のように、他の正当なネットワークトラフィックにシームレスに溶け込むことができます。 対策が効果を発揮するためには、こうした動きの兆候を的確に把握し、ネットワークの脆弱性を突く可能性のある経路を遮断しなければなりません。
このようなステルス的な活動を阻止するため、多くの企業が「多層防御」という従来の概念を取り入れ、 のゼロトラスト といった最新のセキュリティ手法と、インフラストラクチャ制御、マイクロセグメンテーション、ネットワーク検知・対応（NDR）機能を組み合わせています。
1. ゼロトラスト、前提なし
この問題の核心は、ハッカーが途中でデジタル的に阻止されることなく、場所から場所へと移動してしまう点にあるため、「ゼロトラスト」は実用的な解決策となります。 フォレスター社の元プリンシパル・アナリストであり、現在はイルミオ社のチーフ・エバンジェリストを務めるジョン・キンダーヴァグ氏が提唱した「ゼロトラスト」という用語は、ネットワークには「信頼できる側」と「信頼できない側」の両方が存在するという、数十年にわたる誤解を覆すことを目的として提唱されました。
「従来、ネットワークへのアクセス認証が完了すれば、どこへでも自由にアクセスすることができました……。」 それは馬鹿げているですね。 ゼロトラストはそれを解消します。”イルミオのチーフ・エバンジェリスト、ジョン・キンダーヴァグ氏
「従来は、ネットワークへのアクセス認証が完了すれば、どこへでも自由にアクセスできたものです」と、彼は のフォーカルポイント、氏に語っています。 「しかし、すべてのパケットにはポリシーが紐付けられている必要があります。」 「まあ、信頼できる側に入れば、どこへでも行ける」と言うのではなく、どこへ行くのかを明確に指定すべきです。 それは馬鹿げているですね。 「ゼロトラストは、その『信頼』という前提を排除するものです。」
[こちらもご覧ください：これまでのパスワードを鵜呑みにしないでください――パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう]
ゼロトラストは、従来の「知る必要のある者だけが知る」という概念に基づいた、ポリシー主導型のアプローチを採用しています。 ドメインへのアクセス、アプリケーションの使用、またはファイルの開くといったすべてのリクエストは審査され、正当な役割に基づく理由がない場合は拒否されます。 偽情報 によるネットワーク の脅威が増大し、ディープフェイク やその他のAIを活用したツールによって、従業員になりすますことがかつてないほど容易になっていることから、このトラストレスモデルは、企業やセキュリティの責任者の間でますます支持を集めています。 Zscalerの「 」調査（）によると、 80％を超える組織が 2026年までにゼロトラストを導入する計画であるとのことです。
2。 マイクロセグメンテーションに焦点を当てて
マイクロセグメンテーションは、組織がイースト・ウエスト・トラフィックの問題に対処するために採用しているもう一つの一般的な解決策です。 ゼロトラストに対応しており、ネットワークを小さなゾーンに分割することで、侵入者が内部に侵入しても自由に動き回れないようにします。 一方、従来のセグメンテーションでは、ファイアウォールやVLANなどの手段を用いて、ネットワークをより広範なゾーンに分割します。 そのため、ゼロトラストポリシーを適用するために必要な細かさに達していません。
「マイクロセグメンテーションは、正しく実施されれば、非常に優れたセキュリティの基盤となり得ます」と、Demo Forceの最高戦略責任者であり、『Dr. ZeroTrust』として広く知られるチェイス・カニンガム博士は述べています。 「たとえ侵入があったとしても、それ以上先へ進み、事態をさらに深刻化させることは阻止されます。」 「マイクロセグメンテーションは、基本的に大規模な情報漏洩を防ぐのに役立ちます。」
カニンガム氏によると、マイクロセグメンテーションは、特にオペレーショナル・テクノロジー（OT）やモノのインターネット（IoT）―― 医療 や石油・ガスといった重工業分野――において、システムが明確かつ具体的なユースケースをサポートしている場合に、特に有用であるとのことです。 これにより、デバイスを論理的に分離することが可能になります。例えば、コントローラは、その操作を目的として設計された機械としか通信できなくなります。
また、それを可能にするツールがついに成熟したため、現在、この動きが勢いを増しているとのことです。
「市場における技術分野としてのマイクロセグメンテーションは、おそらく3年ほど前まではほとんど存在していませんでした」とカニンガム氏は述べています。 「もし私が企業の最高セキュリティ責任者だったとしたら、まずあらゆるものを徹底的にマイクロセグメント化し、それから他の問題に取り組んでいくでしょう。」
とはいえ、その仕事は決して簡単なものではありません。 カニンガム氏によると、組織は一度に多くのことを抱え込みすぎると、しばしばつまずいてしまうそうです。
「『よし、マイクロセグメンテーションをやろう』と人々が言い出すと、そこで複雑さが生じてくるのです」と彼は言います。 「すると、彼らは『えっと、何をマイクロセグメント化すればいいんですか？』と言うのです。」 それはプロジェクトであり、計画でなければなりません。 ボタンをオンにするだけで、「マイクロセグメンテーション」ができるというわけではありません。 「何か問題が起きるに違いありません。」
3。 NDR—内部の様子をじっくりとご覧ください
セグメンテーションが適切に行われていたとしても、侵入者はその後も横方向への移動手段を見つけ出す可能性があります。 そのため、多くの組織がNDRツールの導入に目を向けています。 ゼロトラストとマイクロセグメンテーションが関与のルールを定める一方で、これらのソリューションは監視塔のような役割を果たします。 セグメンテーションは徹底されていません。 しかし、各ゾーン間およびゾーン内のトラフィックは監視されており、分析ツールやAIを活用して、ファイアウォールやエンドポイント対策ツールでは見逃されてしまうような不審な東西方向の通信を検知しています。
「侵入者は正面のドアをこじ開けて入ってくるわけではありません。」 彼らはあなたの廊下やドア、階段室を利用しています――そして……まるでそこにいるのが当然であるかのように見えます。”デモ・フォースの最高戦略責任者、チェイス・カニンガム博士
カニンガム氏は、この可視性が極めて重要であると説明しています。というのも、侵入者はネットワーク内に侵入すると、しばしば正当なユーザーと見分けがつかなくなるからです。
「侵入者は正面のドアをこじ開けて入ってくるわけではない」と彼は言います。 「彼らはあなたの廊下やドア、階段室を利用しています。適切なセンサーが設置されていなければ、まるでそこにいるのが当然であるかのように見えてしまいます。」
可視性を高めるため、組織では のアイデンティティおよびアクセス管理（IAM） システムを利用して、ユーザーやマシンの認証も行っています。 IAMは、最小権限の原則を徹底し、過剰または不要なアクセス権限を削除し、システム間の横方向の移動を制限することで、攻撃対象領域を縮小します。 IAMは、ユーザーやエンドポイントの認証とアクセス許可を行い、きめ細かなアクセスポリシーを適用し、アクティビティを監視することで、ゼロトラストの実現を支援します。
[関連記事：サイバーセキュリティ・エクスポージャー管理とは？ 組織全体の攻撃対象領域にわたるリスクを特定・評価する、先手を打つ戦略について学びましょう]
最新のID脅威検知ツールは、ネットワーク内で盗まれた認証情報が悪用されている状況を検知することで、セキュリティ対策にさらなる層を追加します。 ポリシーオーケストレーション・プラットフォームは、ゼロトラストやマイクロセグメンテーションを一貫して適用するために必要なマップや制御機能を提供するのに役立ちます。 これらの技術を組み合わせることで、防御担当者は東西方向に移動する攻撃者を検知し、本格的な侵害に発展する前に阻止することが可能になります。
AIと自動化：横方向の異動を新たな段階へ
これらの防御策は効果的ではありますが、万能の解決策というわけではありません。 攻撃者はすでに、AIを活用して横方向の移動を自動化する方法を模索しており、これにより、システムに侵入した後の偵察活動や認証情報の悪用が加速する恐れがあります。 カニンガム氏は、ディフェンダーもそのペースについていけると考えていますが、それは東西方向の視界を「任意のもの」として扱うのをやめた場合に限ると述べています。
「敵は、あなたが予算の調整を終えるのを待ってはくれません」と彼は言います。 「あなたがそうしようがしまいが、彼らは革新を続けています。」
先を見据えたセキュリティチームは、すでに のAIと自動化を活用し、 をこうした攻撃から防御する方法を試しています。 機械学習 は、ユーザーの行動やネットワーク全体の活動における異常を検知し、脅威を自動的に特定して隔離し、攻撃者の行動をその場で阻止できる迅速かつ的確な対応策を講じる上で有効です。
[関連記事：横方向の移動を可視化し、潜在的な攻撃経路を予測し、資産への影響度を評価する方法――これらすべてを1つのソリューションで実現する方法をご紹介します]
キンダーヴァグ社は、企業のリーダーに対し、セキュリティソリューションやプロトコルの変更やアップグレードは、断片的なものではなく、戦略的なものでなければならないと助言しています。 ゼロトラスト、マイクロセグメンテーション、および検知ツールは、何を、なぜ保護する必要があるのかという明確な理解と結びついていて初めて、その効果を発揮します。
「すべての重大なサイバーセキュリティ事案は、 allow というルールの結果に他なりません」と彼は述べています。 「結局のところ、すべては政策にかかっています。」 私は何を許しているのでしょうか？ 私は何を否定しているのでしょうか？ 「そうすることで、侵入した攻撃者が内部で動き回るのを阻止できるのです。」
現実として、情報漏洩は起こり得るものです。 重要なのは、それらが封じ込められたままであるか、それともMITREやChange Healthcareのようなインシデントへと拡大するかという点です。 多層防御モデルを採用し、すべての接続を検証し、ネットワークを綿密に監視している企業こそが、イースト・ウエスト方向のトラフィックの動きがニュースの見出しになるのを防ぐ可能性が最も高いのです。
