ラテラルムーブメントの問題と解説 | 情報セキュリティマネジメント

正解：エ

各選択肢の解説

ア偵察（ポートスキャン）
誤り。偵察は侵入の前に、公開情報や開いているポートを調べて標的の弱点を探す段階です。どちらも「あちこちの機器に触れる」ので混同しやすいですが、場面の攻撃者はすでに社内に入り、得た認証情報で実際にログインしています。侵入の前か後かで切ります。
イ権限昇格
誤り。権限昇格は、入り込んだ機器の中で一般利用者から管理者へと権限を引き上げることです。管理者の認証情報が出てくるので紛らわしいですが、場面の焦点は権限の高さではなく、別の機器へ移っていくことです。同じ機器の中か、機器をまたぐかで区別します。
ウC&C通信の確立
誤り。C&C通信は、感染した機器が外部の指令サーバとつながり、攻撃者の命令を受ける経路を作ることです。遠隔操作の土台にはなりますが、向きは社外との通信です。場面で起きているのは社内の機器どうしの移動なので、通信の相手が社外か社内かで切ります。
エラテラルムーブメント
正解。最初に侵入した1台を足場に、盗んだ認証情報などを使って社内の別の機器へ横方向に侵入範囲を広げる活動をラテラルムーブメント（横展開）と呼びます。

空き巣が勝手口から1部屋に入り、その部屋で見つけた合鍵を使って他の部屋を次々に開けていく様子を思い浮かべてください。最初の部屋に入ること（侵入）と、合鍵で部屋から部屋へ移ること（横展開）は別の行為です。後者がラテラルムーブメントです。

標的型攻撃やランサム攻撃では、最初に感染する端末は目的の情報を持っていないことが多く、攻撃者はそこから社内を横に移動して、重要なサーバや管理用の機器にたどり着きます。

攻撃の流れを段階に分けて捉える代表的なモデルがサイバーキルチェーン （偵察、武器化、配送、攻撃、インストール、C2、目的の実行の7段階）
キルチェーンにはラテラルムーブメントという独立した段階は無い。攻撃者の戦術を体系化した MITRE ATT&CK では、戦術の1つ（Lateral Movement）として整理されている
段階を分けて考えると、「入口で止められなかった場合に、次のどこで止めるか」を決められる。横展開の段階なら、管理者アカウントの使い回しをやめる、社内の機器間の通信や認証の記録を監視する、といった手が打てる

入口の対策だけに頼らず、侵入された後の段階にも対策を置く考え方につながります。

「次々に」「別の機器へ」という記述が出てきたら横展開を疑います。同じ侵入後の活動でも、権限の高さの話か、通信の相手が社外かで見分けます。