ラテラルムーブメントとは？

ラテラルムーブメントの意味

侵入した端末を足掛かりに、資格情報の窃取や共有フォルダ・管理ツールの悪用によって、組織内の他の端末やサーバへ侵害範囲を広げる活動。

ラテラルムーブメントの具体例

1台のマルウェア感染を検知した際、その端末の隔離で終わらせず、直近72時間の管理共有への接続とRDPログを追跡したところ、3台への横展開が判明した。以後は端末どうしのSMB通信を原則遮断し、被害の広がりを構造的に止める設計へ変えた。

ラテラルムーブメントは試験でどう引っ掛けられる？

境界防御だけでは検知できない。内部通信の可視化、ネットワークの分割、特権IDの分離、EDRによる挙動検知が対策になる。

ラテラルムーブメントと関連する用語

• Pass the Hash
• ゼロトラスト
• EDR

ラテラルムーブメントが出た過去問

• Pass the Hash攻撃はどれか。

  正解：パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。

  要点：Pass the Hashは窃取したハッシュ値のまま認証を通す

  Windowsのネットワーク認証の一部では、パスワードそのものではなくハッシュ値を用いて本人確認を行う。Pass the Hash攻撃は、侵入した端末のメモリなどから窃取したこのハッシュ値をそのまま提示して認証を通し、他の端末やサーバへ横展開する手法である。平文パスワードを復元する必要がないため、パスワードを長く複雑にするだけでは防げず、権限分離や資格情報の保護が対策となる。

  出典：令和3年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）

• Pass the Hash攻撃はどれか。

  正解：パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。

  要点：Pass the Hashはハッシュ値を鍵代わりに提示して認証を突破する

  Pass the Hash攻撃は、NTLM認証などパスワードのハッシュ値そのものを認証の資格情報として使う仕組みを悪用し、平文パスワードを知らないままハッシュ値を提示してログインする攻撃である。よってイが該当する。ハッシュ値を平文へ戻す(解読する)必要がない点が本質で、侵入後の横展開(ラテラルムーブメント)で多用される。

  出典：令和5年度 春期 情報処理安全確保支援士試験 am2 問2（IPA）

• Pass the Hash攻撃はどれか。

  正解：パスワードのハッシュ値だけでログインできる仕組みを悪用してログインする。

  要点：Pass the Hashは盗んだハッシュ値のまま認証を通す横展開手口

  WindowsのNTLM認証などでは、平文パスワードではなくそのハッシュ値そのものが認証の資格情報として使われる。Pass the Hashは、侵入した端末のメモリなどから抜き取ったハッシュ値をそのまま提示して他の端末やサーバへログインする手口で、パスワードを解読する必要がない。管理者資格情報の使い回しがあると横展開が容易になるため、特権の分離やLSAの保護、多要素認証の導入が対策となる。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問2（IPA）