こんにちは！日々のインフラ管理や開発、本当にお疲れ様です。セキュリティの世界へようこそ！
皆さんは、会社のオフィスやご自宅で「玄関の鍵をかけたから絶対に安心！」と思っていませんか？ でも、もし泥棒が窓の鍵の締め忘れを見つけたり、あるいは家族の誰かがうっかり合鍵を泥棒に渡してしまったりしたらどうなるでしょう。家の中に侵入された後、泥棒はリビングだけでなく、寝室や金庫のある部屋へと自由に歩き回ってしまいますよね。
実は、企業のネットワークの中でも全く同じことが起こります。これをセキュリティの世界では「横展開（ラテラル・ムーブメント）」と呼びます。
今回は、初心者の方にもスッとイメージできるように、ネットワークの「合鍵」や「家の中の移動」に例えながら、攻撃者がどのように社内を歩き回り、私たちがそれをどうやって見つけ出すのか、その裏側の技術（メモリフォレンジックやネットワーク解析の世界）を一緒に優しく紐解いていきましょう！
—
1. そもそも「横展開」ってなに？ 家の例えで考えてみよう
セキュリティ対策というと、どうしても「会社の外から悪い奴が入ってくるのを防ぐ（境界防御）」ことばかりに気が向きがちです。ファイアウォールを厚くして、まるで高い城壁を築くようなイメージですね。
しかし、攻撃者はあの手この手で、その城壁の隙間を突いてきます。例えば、誰かがうっかり怪しいメールの添付ファイルを開いてしまったり、古いシステムの設定ミスをつかれたりして、社内のパソコンが1台乗っ取り（初期侵入）にあうのです。
これを家の例えで言うと、「空き巣が、勝手口の鍵の閉め忘れから、物置部屋に侵入されてしまった状態」です。
ここで攻撃者が目指すのは、物置部屋（最初に侵入されたPC）に留まることではありません。彼らの真の目的は、もっと奥にある「金庫（顧客データベースや機密情報が眠るサーバー）」です。
物置部屋から家の中の廊下を歩き、リビングを通り抜け、金庫のある部屋へと侵入していく……この「家の中（社内ネットワーク）を移動する行為」こそが「横展開」なんです。
—
2. 攻撃者はどうやって社内を歩き回る？（SMBとPsExecの正体）
では、攻撃者は家の中を移動するときに、どんな「道具」を使うのでしょうか？
会社の中では、パソコン同士がファイル共有をしたり、プリンターを使ったりするために、お互いに通信し合っています。この時に使われる代表的なルール（プロトコル）が SMB（Server Message Block） です。これは例えるなら、「家の中の部屋と部屋を繋ぐ便利な内線電話や、荷物を運ぶための共有通路」のようなものです。
このSMBという便利な通路を使って、攻撃者がよく悪用するのが PsExec（ピーエスクエック） や WMI（Windows Management Instrumentation） と呼ばれる正当な管理ツールです。
管理者になりすます「合鍵」の悪用
PsExecは、本来はシステム管理者が「あっちのパソコンにこっそり遠隔でアップデートを適用したい！」という時に使う、すごく便利な公式ツールです。
しかし、攻撃者は最初に盗み出した「管理者のお父さんの合鍵（管理者権限のパスワードや認証情報）」を使ってこのPsExecを悪用します。
1. 最初に入り込んだPCから、社内の別のPCへ「おーい、管理者だけど、このプログラムをそっちで実行してくれ！」とSMB経由で命令を送る。
2. 受け取った側のPCは、「おっ、お父さん（管理者）からの命令だな！」と信じ込み、言われた通りに怪しいプログラムをこっそり動かしてしまう。
これが、ネットワーク上でこっそり行われている横展開のメカニズムです。見た目は「正当な業務通信」に化けているため、普通のセキュリティソフトではなかなか見破るのが難しい厄介な手口なんです。
—
3. 現場のプロはどうやって見つける？（痕跡抽出の基本）
「じゃあ、泥棒が家の中を歩いた足跡なんて、どうやって見つければいいの？」と思いますよね。
ここで登場するのが、今回のテーマである 「インシデントレスポンス（DFIR）」 や 「メモリフォレンジック」 という技術です。
犯人がどんなに綺麗に証拠を消したつもりでも、パソコンの「メモリ（RAM：作業机の上のような場所）」や、ネットワークの「通信の記録（ログ）」には、必ずドタバタと歩き回った足跡が残ります。
例えば、ネットワークの通信パケットやセキュリティログを解析すると、次のような「不自然な兆候」が見つかります。
- 管理者でもない一般のパソコンから、他のパソコンの管理用共有フォルダ（
ADMIN$やC$）へアクセスしている。 - 見慣れないサービス名や、ランダムな文字列の実行ファイルがネットワーク経由でコピーされている。
ここで、実務の現場でパケットやログを調査する際に役立つ、ネットワークトラフィックの解析イメージを少しだけ覗いてみましょう。Pythonなどのスクリプトを使って、怪しいSMB通信のパターンを検知するイメージのコードです。
# 【実務参考】怪しいSMB通信（横展開の兆候）を検知するための簡易ロジック例
import pyshark
def detect_suspicious_smb_movement(pcap_file_path):
print(f"[*] ネットワークパケットの解析を開始します: {pcap_file_path}")
# SMBプロトコル（特にファイル共有や管理共有へのアクセス）をフィルタリング
capture = pyshark.FileCapture(pcap_file_path, display_filter='smb2 and smb2.filename')
suspicious_keywords = ['ADMIN$', 'C$', 'IPC$', 'psexec', 'remotesvc']
for packet in capture:
try:
# パケット内のファイル名やパスの文字列を取得
file_name = packet.smb2.filename.lower()
# 怪しいキーワードが含まれているかチェック
for keyword in suspicious_keywords:
if keyword in file_name:
source_ip = packet.ip.src
dest_ip = packet.ip.dst
print(f"[!] 警告: 横展開の可能性を検知しました！")
print(f" - 送信元IP: {source_ip}")
print(f" - 送信先IP: {dest_ip}")
print(f" - 検出された痕跡: {file_name}")
# ここにインシデント対応チームへのアラート通知処理などを記述します
except AttributeError:
# SMB2の属性が含まれないパケットはスキップ
pass
# 使用例（実際の解析環境でファイルパスを指定して実行します）
# detect_suspicious_smb_movement('suspect_traffic.pcap')このように、ネットワークの通路（SMB）を流れる荷物の名前（ADMIN$ や PSEXEC といったキーワード）を監視することで、「あ、今この部屋からあの部屋へ、怪しい道具が運ばれたぞ！」と気づくことができるのです。
—
4. 一歩ずつ始める！ 私たちにできる防犯対策
「なんだか難しそう……」と感じてしまったかもしれませんが、安心してください。セキュリティ対策の基本は、お家の防犯とまったく同じです。今日からできる、具体的なステップを整理してみましょう。
1. 「合鍵」の使い回しをやめる（パスワード管理と権限の最小化）
- 家のすべての部屋の鍵が「同じ1本の鍵」で開いてしまったら、1箇所破られただけで全室侵入されてしまいますよね。パソコンも同じです。すべての端末で同じ管理者パスワードを使うのをやめ、権限は必要最小限に絞りましょう。
2. 部屋と部屋の間に「内鍵」をかける（ネットワークセグメンテーション）
- 万が一、1台のPCが侵入されても、別のエリアへ簡単に通信できないように、ファイアウォールで社内ネットワークをいくつかのゾーンに区切っておきましょう。これが「ラテラル・ムーブメント（横展開）を防ぐ最強の壁」になります。
3. 定期的に「足跡」を確認する習慣をつける（ログ監視）
- 誰がいつどの部屋に出入りしたか（イベントログやセキュリティログ）を定期的に確認する仕組みを作っておくことで、万が一の際にも被害を最小限に抑えることができます。
—
まとめ
今回は、SMBプロトコルと横展開の仕組み、そしてその痕跡を見つけ出すアプローチについて、お家の防犯に例えてお話ししました。
サイバー攻撃は確かに巧妙になっていますが、彼らが使う「足跡」や「手口」には必ず物理的・論理的な法則があります。難しく考えすぎず、まずは「自分の担当するシステムで、誰がどこに通いつながっているか」を気に掛けることから、一歩ずつセキュリティの目を養っていきましょう！
それでは、また次回の解説でお会いしましょう。日々の運用、本当にお疲れ様です！
コメント