ラテラルムーブメント（横展開）とは？侵入後の脅威を解説

ラテラルムーブメント（横展開）とは、ネットワークに侵入した攻撃者が、最初に足がかりにした端末から社内の別の端末やサーバーへと横方向に移動し、侵害範囲を広げていく一連の行為です。日本語では「横展開」「横断的侵害」とも呼ばれます。近年の標的型攻撃や侵入型ランサムウェアでは、この横展開の巧拙が被害規模を左右します。

この記事では、その用語を初めて調べる情シス担当者にも分かるよう、仕組み・代表的な手口・現場での検知と対策の勘所を、一次情報をもとに整理します。

ラテラルムーブメントが「攻撃のどの段階」で起きるのか
攻撃者が使う代表的な手口（正規の認証情報の悪用が中心）
情シスとして何を見張り、どこに対策の軸足を置くべきか

ラテラルムーブメントとは何か
1. なぜ情シスにとって重要なのか
攻撃者はどうやって横展開するのか
1. なぜ検知が難しいのか
情シスの実務ではどう扱うか
1. 現場目線での率直な所感
まとめ
関連用語・出典

ラテラルムーブメントとは何か

攻撃者は、標的型メールや脆弱性の悪用などで組織内のどこか1台に侵入します（初期アクセス）。しかし、最初に入り込んだ端末が、機密データや基幹サーバーを握っているとは限りません。そこで攻撃者は、侵入済みの端末を踏み台にして別の端末・アカウント・サーバーへと移動し、最終的な目的（重要データの窃取やランサムウェアの一斉展開など）に近づこうとします。この「横方向の移動」がラテラルムーブメントです。

攻撃全体の流れの中では、「初期侵入 → 権限昇格 → 横展開 → 目的の実行」という中盤に位置づけられます。攻撃者の行動を体系化したフレームワーク MITRE ATT&CK でも、Lateral Movement（TA0008）は独立した戦術（Tactic）として定義され、「攻撃者があなたの環境内を移動しようとする」段階と説明されています。

なぜ情シスにとって重要なのか

答えを一言でいえば、「1台の感染」を「全社の被害」に変えてしまう分岐点だからです。侵入を100%防ぐことが現実的でない以上、「入られた後に、どれだけ横に広げさせないか」が被害の大きさを決めます。境界（ファイアウォールやVPN）を固める発想だけでは、内部に一度入られると横展開を止められません。ここが、ゼロトラストや内部監視が重視される理由でもあります。

攻撃者はどうやって横展開するのか

ラテラルムーブメントの特徴は、マルウェア特有の派手な挙動よりも、正規の機能・正規の認証情報を悪用する「目立たない移動」が中心だという点です。MITRE ATT&CKが挙げる代表的な手口を、情シス目線で整理します。

手口	概要
リモートサービスの悪用（Remote Services）	盗んだ正規アカウントでRDP・SSH・SMB共有などを使い、別のマシンへ正規ログインするように移動する。
Pass the Hash / Pass the Ticket	パスワードそのものではなく、盗んだハッシュ値やKerberosチケットを使って認証を突破する。
管理共有・管理ツールの悪用	Windowsの管理共有（ADMIN$等）や資産管理・ソフト配布ツールを悪用し、多数の端末へ一気に展開する。
リモートサービスの脆弱性悪用	内部サーバーの未修正の脆弱性を突いて、認証情報なしで侵入・移動する。
ツールの横移動（Lateral Tool Transfer）	侵害済み端末から次の端末へマルウェアや攻撃ツールをコピーして送り込む。

なぜ検知が難しいのか

厄介なのは、攻撃者の多くが「正規の資格情報」と「OS標準の機能」を使う点です。盗んだ正規アカウントでのRDPログインや、管理者が日常的に使うツールの実行は、一見すると通常業務と区別がつきません。ウイルス対策ソフトが検知する「明らかな不正プログラム」とは違い、「正しい鍵で開けられたドア」を異常と見抜くには、普段の挙動との差分（いつもと違う端末間の通信、深夜の管理者ログインなど）に目を向ける必要があります。

情シスの実務ではどう扱うか

横展開への対応は、「侵入させない」対策とは軸足が異なります。前提は「いつか内部に入られる」。そのうえで移動を封じ、痕跡を残し、早く気づくことに重心を置きます。基本的な考え方は次の3点です。

移動経路を減らす（ネットワーク分割・最小権限）：端末間の不要な通信（端末同士のSMB/RDPなど）を制限し、管理者権限やアカウントの権限を必要最小限にする。1台落ちても隣へ飛べない状態をつくる。
認証情報を守る：横展開の燃料は盗まれた認証情報です。多要素認証（MFA）、パスワードの使い回し防止、特権アカウントの分離・監視が効きます。
痕跡を取り、検知する：横移動はWindowsのイベントログ等に痕跡を残します。ログの取得・保全と、平常時との差分に気づける監視（EDR/XDRやログ分析）が要になります。

ログ分析の具体は、JPCERT/CCが実務向けの資料を公開しています。攻撃者が悪用しやすいツールの実行痕跡をまとめたツール分析結果シートや、高度サイバー攻撃への対処におけるログの活用と分析方法は、「どのログを見れば横展開に気づけるか」を検討する出発点として有用です。組織全体の底上げには、IPAの中小企業の情報セキュリティ対策ガイドラインもあわせて参照するとよいでしょう。

現場目線での率直な所感

正直なところ、横展開の監視は「言うは易し」です。端末間通信をどこまで絞れるかは業務都合との綱引きですし、限られた人員でログを日々ながめ、「いつもと違うログイン」を拾い上げるのは相当な負荷がかかります。だからこそ、すべてを人手で見張るのではなく、EDR/XDRのように「端末間の異常な動き」を機械的に浮かび上がらせる仕組みへ投資する意味があります。加えて、横展開の起点になる不審メールや認証情報の使い回しを減らす地道なユーザー教育・啓発が、結局は横展開の芽を摘む一番の近道だと感じています。

まとめ

ラテラルムーブメント（横展開）とは、侵入した攻撃者が踏み台を経由して社内を横移動し、被害を広げる行為。攻撃の中盤にあたり、被害規模を左右する分岐点になる。
手口は正規の認証情報・OS標準機能の悪用が中心で、通常業務と紛れやすく検知が難しい。
対策の軸足は「侵入させない」から「移動させない・気づく」へ。ネットワーク分割と最小権限、認証情報の保護、ログ取得と監視（EDR/XDR）が要になる。