これまでの連載を振り返ると、攻撃は一本の線でつながっています。入口を突破（第2回）し、コードを動かして住みつき（第3回）、身を隠して合鍵を奪った（第4回）。ここまでは、基本的に“1台の端末の中”での出来事でした。しかし今回の探索と横展開で、攻撃はその端末の壁を越え、組織全体へと染み出していきます。

そして、この局面には防御上の大きな難しさがあります。横展開で使われる通信は、多くが「内部の正規通信」に見えるのです。ファイル共有（SMB）、リモートデスクトップ（RDP）、リモート管理——どれも業務で日常的に使われるもの。だから、社外との境界を守るファイアウォールだけでは、内部を横に進む攻撃者を捉えられません。鍵になるのは「内部の通信と認証を可視化する」こと。境界の壁の内側で、誰がどの端末に、いつアクセスしたかを見る——この“内部の目”こそが、横展開と戦う武器になります。

探索（Discovery）は、攻撃者が侵入先の環境を内部から調べる戦術です。第2回で扱った偵察（Reconnaissance）と似ていますが、決定的な違いがあります。偵察は侵入前に“外から”調べるのに対し、探索は侵入後に“内側から”調べる。すでに中にいるからこそ、外からは見えなかった内部構造が手に取るように分かるのです。攻撃者が探索で知りたいことは、突き詰めると3つの問いに集約されます。

探索の特徴は、その多くが第3回で学んだLOLBins——OS標準の正規コマンド——で行われることです。whoami（自分の権限）、net user・net group（アカウントや管理者グループ）、net view（他の端末）、nltest（ドメインの信頼関係）、ipconfig・arp（ネットワーク構成）……。さらに、Active Directoryの構造を丸ごと可視化するBloodHoundのようなツールを使い、「どの経路をたどれば最短で管理者権限に届くか」という攻撃経路まで描き出すこともあります。

とりわけ警戒したいのが、こうした探索の結果を“攻撃経路図”に変換する動きです。BloodHoundのようなツールは、収集したアカウントと権限の関係を解析し、「いま乗っ取った一般ユーザーから、最短何ステップでドメイン管理者に届くか」を自動で描き出します。攻撃者はこの地図を見て、次にどの端末・どのアカウントを狙えば効率よく権限を広げられるかを決める。つまり探索は、次の横展開の“標的選定”に直結しているのです。だからこそ、探索の段階で気づけることには、大きな価値があります。

では、これをどう検知するのか。ここに探索の“やっかいさ”があります。whoami も net user も、システム管理者が日常的に使う正規コマンド。1つ1つを見ても、まったく怪しくありません。だから検知の鍵は、「単発ではなく、流れで見る」こと。短時間に探索系コマンドが立て続けに実行されたら、それは“誰かが内部の地図を描いている”サインです。Sigmaでは、とくに危険度の高い「管理者グループの探索」などを起点に検知します。

▲ 一般の従業員のPCで「ドメイン管理者は誰か」を調べるコマンドが走るのは、強い異常信号。単発の検知に加え、探索コマンドの“連続・集中”を相関で捉えると精度が上がります。

内部地図を描き終えた攻撃者は、いよいよ横展開（Lateral Movement）に移ります。これは、最初に侵入した端末から、組織内の他の端末やサーバーへと“横方向”に移動していく戦術です。なぜ「横」なのか。上下（権限の昇格）ではなく、同じネットワーク内を端末から端末へと渡り歩くイメージだからです。そして、この移動の燃料こそが、第4回で奪った認証情報。盗んだ正規の鍵を使うからこそ、攻撃者は“正規ユーザーのふり”をして、堂々と隣の部屋のドアを開けられるのです。

横展開が恐ろしいのは、そのスピードと連鎖です。1台から2台、2台から4台へと、奪った認証情報を使って指数関数的に広がることもあります。実際のランサムウェア事案では、最初の侵入から全社の暗号化までわずか数時間〜数日で到達した例も報告されています。だからこそ、横展開の“最初の一歩”をいかに早く捉えるかが勝負。次の章では、攻撃者が具体的にどんな手口で隣へ移るのか——その主要テクニックを見ていきましょう。

横展開の手口に共通するのは、「組織が業務で使っている、正規のリモート接続・管理機能」を悪用する点です。新しい攻撃ツールを持ち込むより、もともとある仕組みに奪った鍵で乗るほうが、自然に紛れて見つかりにくい。第3回のLOLBinsの発想が、ネットワークをまたいで使われると考えると分かりやすいでしょう。代表的なテクニックを見ていきます。

これらを表に整理すると、「すべてに正規の業務用途がある」という共通点がより鮮明になります。だからこそ、単に「使われたか」ではなく、「いつ・誰が・どの端末からどの端末へ・どんな文脈で」使ったかを見る必要があります。

実際のインシデントでは、これらのなかでもRDPと、奪った正規認証情報の組み合わせが突出して多く観測されます。攻撃者にとって、盗んだ管理者アカウントでRDPログインするのは、もっとも手軽で確実な横展開だからです。特別なマルウェアもエクスプロイトも要らず、ただ“正規にログインする”だけ。だから防御の出発点は、「その管理者は、本当にその時間に、その端末へ接続するはずだったのか？」という素朴な問いを、ログで検証できる体制を作ることにあります。

横展開への対抗策は、大きく2つの発想に分かれます。ひとつは「通り道を物理的に狭める」＝ネットワークの分離。もうひとつは「通った足跡を確実に捉える」＝認証とネットワークの可視化です。まず通り道の話から。

横展開は、端末から端末へ“横に”進む攻撃でした。ということは、端末同士が自由に通信できる「平らなネットワーク」ほど、攻撃者にとって動きやすい。そこで効くのがネットワークセグメンテーション（分離）です。部門ごと・役割ごとにネットワークを区切り、不要な端末間通信を遮断する。とくに、一般のPC同士が直接SMBやRDPで通信する必要はめったにありません。こうした“横の通り道”を塞ぐ「マイクロセグメンテーション」や、すべての通信を信頼せず検証するゼロトラストの考え方は、横展開を物理的に困難にします。1か所破られても、被害がそのセグメントに“くびれ”で封じ込められるのです。

足跡の代表例が、PsExecです。PsExecで遠隔実行が行われると、接続先に固有の名前のサービスが作られ、サービスインストールのイベント（EID 7045）が残ります。これは横展開検知の定番ポイント。Sigmaで表すと、こうなります。

▲ 攻撃者はサービス名を変えることもありますが、「遠隔からの不審なサービス作成」というTTP自体は残ります。Wiresharkでの内部SMB/RDP通信の解析や、Velociraptorでの全端末ハントと組み合わせると、横展開の全体像が見えてきます。

もうひとつ、横展開検知の“仕掛け”として強力なのがハニートークン（おとり）です。実際には誰も使わない“いかにも管理者らしいアカウント”や、おとりのファイル共有をあえて置いておき、それに少しでも触れたら即アラートとする方法です。正規の利用者は決して触らないので誤検知がほぼなく、触れたら高い確率で“内部を探索中の攻撃者”。低コストで仕掛けられて効果が高い、防御側の賢い罠です。ネットワーク分離や認証ログ監視と組み合わせれば、横展開を捉える網はさらに密になります。

探索と横展開への対策を、優先順位で整理します。狙いは明確——攻撃者を最初の1台に閉じ込め、ドメインコントローラーへ到達させないこと。そのために「広がりにくい設計」と「広がりを捉える監視」を重ねます。

そして、横展開の兆候をつかんだら、迷わずインシデント対応へ。横展開は時間との勝負です。攻撃者がドメインコントローラーへ到達する前に、感染端末を隔離し、奪われた認証情報をリセットして“燃料”を断つ。これが、全社被害という最悪の結末を防ぐ分かれ道になります。実務の地図はDFIR完全ロードマップを索引に。

探索と横展開——攻撃が“点”から“面”へ広がる、被害規模を決める分水嶺を見てきました。勘所は2つ。「探索は正規コマンドの“連続・集中”で見抜く」「横展開はネットワーク分離で通り道を狭め、認証ログの相関で足跡を捉える」。そして横展開はスピード勝負——早く気づき、早く断つ。用語とFAQで仕上げましょう。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む