ラテラルムーブメントとは、攻撃者やマルウェアが企業の内部ネットワークへの侵入に成功した後、ネットワークに接続する端末から別端末へと水平方向の攻撃を繰り返すことで被害範囲を拡大させるサイバー攻撃の重要な手法の一つです。手口は、侵入に成功した端末を起点に、ネットワークに接続するIT機器を対象としたポートスキャンを実行することが第一歩になります。

IPアドレスを住所とするなら、各端末のポート番号は部屋番号にたとえることができます。ポート番号は0～65535まであり、ネットワークごとに各ポートの役割が標準化されています。ポートスキャンの企てを一口に言うなら、すべてのポートに特定の動作を繰り返すことで、実際に使われているポートを発見するプロセスということができます。開いているポートを発見したマルウェアは、侵入済みの端末から盗んだIDやパスワードを利用し、正規の通信を装い、横方向の展開を繰り返します。

マルウェアに感染した端末を起点にネットワーク全体に被害が拡大する背景には、ラテラルムーブメントによる横方向の展開があります。最大の危機は、ネットワーク管理者の端末にマルウェアが到達したときに訪れます。Active Directoryなどによるユーザーアカウントやパスワードの管理、権限の設定は今日、多くの企業に採用されています。管理者端末の乗っ取りは、攻撃者がネットワークを支配し、あらゆるデータにアクセスできる状況につながります。マルウェア被害を最小化する上で、ラテラルムーブメントの早期検知は避けて通ることができない課題です。今回はこうした観点から、EDRとSubGateの特徴を比較していきます。

EDRによるラテラルムーブメント検知は、深夜の管理者端末ログインや不自然なサーバーアクセス、認証情報の窃取、ポートスキャンなど、端末の不審な行動を通して行われます。また、端末へのマルウェア侵入や、その活動の初期段階（内部偵察など）を、端末内の挙動変化からいち早く検知できることもその強みです。
ラテラルムーブメントの兆候を多面的に検知することが可能なEDRですが、効果的な運用には、24時間365日、アラートに対応できる監視体制の構築が求められます。不審なプロセスや通信を自動停止・遮断するという機能を備える製品も増えていますが、正当なプロセスや通信まで遮断してしまうなど運用には難しさがあることが否めません。

一方、SubGateのラテラルムーブメント検知は、ポートスキャンに注目して行われます。ポートスキャンは、ターゲット端末への一定パターンの通信を繰り返し行いますが、それが不自然な通信であることは誰の目にも明らかです。ネットワークスイッチでもあるSubGateは、ラテラルムーブメント特有の不自然な通信パターンを検知すると同時に、その不正通信のみを遮断します。EDRと違い、端末内部のマルウェアの挙動を検知する機能は備えていませんが、侵入後の被害拡大を防ぐ上では、より導入しやすく、効果的な対策が可能になるという特徴を備えています。

EDRとSubGateのラテラルムーブメント対策を比較すると、多様な検知手法を併用し、多面的な検知を行うEDRに優位性があることは間違いありません。しかしその運用には、アラートに常時対応できる監視体制の構築が不可欠です。情報システム部門を持つ企業であれば対応は可能ですが、担当者が本来業務のかたわらシステム管理を行う場合、社内リソースだけでEDRを運用することは困難です。24時間365日の監視代行サービスまで含めるとEDR運用コスト高額化は避けられず、結果として、その導入が足踏みし続けているような状況も散見されます。

端末のマルウェア感染を完全に防ぐことは困難です。その被害を最小限に留める上で、ラテラルムーブメントによる不正な通信のみを自動検知してブロックする仕組みは極めて重要です。既存のネットワークスイッチを入れ替えるだけでその効果的な対応が可能になるSubGateは大きな意味を持ちます。EDR導入に先立ち、SubGateを導入することはマルウェア被害の最小化という観点で非常に有効な手段になるはずです。



ライター：滝本一帆