境界型防御が限界をむかえ、攻撃者が侵入からたった27秒でラテラルムーブメントを開始するのに関わらず、我々が、侵害を特定し、封じ込めを行うまでに241日掛かっています。この現状に対し、ラテラルムーブメントそのものを阻止する「封じ込め」戦略について解説します。
なぜ「侵入」は防げても「ビジネス停止」は防げないのか
現代のサイバーセキュリティにおいて、境界型防御（ペリメターセキュリティ）の限界はもはや議論の余地はありません。私たちエンジニアが日々直面しているのは、防御を固めたはずの境界を、攻撃者が驚異的なスピードで突破してくるという現実です。最新の調査データによれば、攻撃者が初期侵入からネットワーク内での移動を開始するまでの「ブレイクアウトタイム」は、わずか27秒にまで短縮されています。
これに対し、企業が侵害を特定し、封じ込めるまでに要する平均時間は241日に及びます。この差を秒単位で比較すると、771,200：1という圧倒的なスピードの差が生じています。この絶望的なタイムラグこそが、攻撃者に「自由時間」を与え、単なる侵入を「事業停止」へと悪化させる根本原因です。
サイバーセキュリティの権威、”Dr. Zero Trust（ゼロトラスト博士）”の異名を持つ チェイス・カニングハム博士（Dr. Chase Cunningham）は次のように警鐘を鳴らしています。「初期侵入はセキュリティ上の問題です。ラテラルムーブメント（水平移動・横展開）が発生して初めて、ビジネス継続上の問題となります。」
なぜこれほどまでにラテラルムーブメントが容易に行われるのでしょうか。その理由は、従来型の境界型防御を前提としたネットワーク設計が「アクセスと利便性」を最優先にし、内部を「信頼済み」として扱ってきたことにあります。一度侵入を許せば、内部ネットワークは攻撃者にとっての「高速道路」と化します。データによれば、たった一つのエンドポイントが侵害されるだけで、最初の1ホップで内部システムの85%に到達可能であり、2ホップ以内にはほぼ100%のシステムが攻撃者の射程圏内に入ってしまいます。つまり、侵害を前提とした「封じ込め（Containment）」の設計がない限り、ビジネスを止めない防御は不可能なのです。
自動化とアイデンティティによるマイクロセグメンテーション
この「攻撃者の高速道路」を遮断し、ラテラルムーブメントを構造的に阻止するための最も有効なアプローチが、Zero Networks社が提唱する「Closed-by-default（デフォルト拒否）」のアーキテクチャです。これは、ネットワーク上のあらゆる資産をデフォルトで隔離し、正当な理由と認証がある場合にのみ、必要な通信経路を動的に開放する設計思想です。
従来のセグメンテーション（VLANや静的なファイアウォール運用）には、エンジニアを悩ませる大きなジレンマがありました。セキュリティを厳しくすればするほど運用の柔軟性が失われ、数千行に及ぶACL（アクセス制御リスト）の管理は人為的ミスの温床となります。実際、多くの現場では「設定変更による業務停止」を恐れるあまり、ポートが常時開放されたまま放置されているのが実態です。
Zero Networksは、この運用負荷とセキュリティのトレードオフを「自動化」によって解決します。世界中の300以上のエンタープライズ環境から収集された54兆件ものアクティビティ分析に基づき、AIが最適なポリシーを自動生成します。アイデンティティ（誰が）とコンテキスト（どの端末から、何のために）をネットワークレイヤーの制御に融合させることで、「ビジネスに必要な通信は一切止めず、攻撃者の移動経路だけを遮断する」という、極めて強固かつ適応性の高いセキュリティ環境を実現します。
実装すべき5つの主要機能とその効果
ラテラルムーブメントの阻止を実務レベルで実現するために、特に重要な5つの機能について紹介します。
1. AIセグメンテーションとネットワークマップの可視化
「見えないものは守れない」というのは鉄則ですが、複雑化した現代のネットワークで全資産の通信を把握するのは至難の業です。Zero Networksは、膨大なログから攻撃者の視点で見た「ネットワークマップ」を自動生成します。
- 実務へのインパクト： どのアカウントがどのサーバーに、どのプロトコルで到達可能なのかをリアルタイムで可視化します。これにより、インシデント発生時に「どの範囲まで被害が及ぶ可能性があるか（ブラストライジアス）」を即座に特定でき、初動対応のスピードを劇的に向上させます。
2. ネットワークレイヤーでのJIT（Just-in-Time） MFA
RDP（リモートデスクトップ）やSSHといった管理プロトコルはIT運用の要ですが、サーバーの87%が内部からのRDP/SSH接続を常に受け入れているという極めて危険な状態にあります。
- 実務へのインパクト： これまで、管理者は「踏み台サーバー」を用意するか、複雑なIP制限で運用してきましたが、これらは攻撃者にとっても格好の標的でした。Zero Networksは、これらをネットワークレイヤーで隠蔽し、管理者がアクセスを試みた瞬間にMFA（多要素認証）を要求します。認証に成功したセッションの間だけポートを「オンデマンド開放」するため、「常時開放」という最大のリスクを排除しつつ、管理者の利便性を維持します。
3. アイデンティティ・セグメンテーション
攻撃の80%以上が盗まれた資格情報を悪用しています。従来のIPアドレスベースの制御では、正規のIDを乗っ取った攻撃者の移動を止めることはできません。
- 実務へのインパクト： ユーザーやロールの属性に基づいて「このユーザーはこのサーバーにしかログインできない」という境界を動的に設けます。これにより、たとえドメイン管理者の資格情報が盗まれたとしても、それがネットワーク全体を縦横無尽に移動するための「全権通行手形」になることを防ぎます。
4. RPCファイアウォールによる詳細制御
Windows環境での移動に多用されるSMBやWinRMは、全サーバーの78.7%で到達可能な状態です。これらのプロトコルは業務に不可欠なため、従来のファイアウォールでは「全許可」にするしかありませんでした。
- 実務へのインパクト： Zero Networksはレイヤー7（アプリケーション層）レベルでRPC（Remote Procedure Call）トラフィックを検査します。「ファイル共有のためのSMB」と「サービスを乗っ取るための悪意あるSMB挙動」を識別し、後者のみをピンポイントで遮断します。運用を止めずに攻撃の「振る舞い」だけをフィルタリングできる技術的意義は極めて大きいです。
5. サービスアカウントの最小権限保護とAIエージェント対策
人間以外の「マシンID（サービスアカウント）」は、人間用IDの109倍も存在し、その99%が過剰な権限を保持しています。さらに昨今では、業務効率化のために導入された「AIエージェント」が広範なアクセス権を持ち、新たな侵入路（AILM: AI-driven Lateral Movement）となるリスクが急浮上しています。
- 実務へのインパクト： 51%が休眠状態とされるサービスアカウントや、管理外で増殖するAIエージェントの挙動を監視し、必要最小限の権限に絞り込みます。AIが悪用されてシステム間を高速移動するような次世代の脅威に対しても、通信そのものを構造的に制限することで無効化します。
実戦経験に基づく「落とし穴」の回避方法
SCSKとして多くのエンタープライズ現場を支援してきた経験から、導入時に陥りやすい「落とし穴」と回避策を共有します。
- レガシープロトコルの「バーチャルパッチ」戦略： 調査では内部トラフィックの43.2%がいまだにNTLM認証を使用しています。これらやPOP3/IMAPなどの古い認証プロトコルはMFAを容易にバイパスしますが、業務システムとの兼ね合いで廃止が困難なケースが多々あります。
- 対策： 脆弱なプロトコルを使用せざるを得ないレガシー資産（Windows Server 2008やXP等）に対し、ネットワークレイヤーでセグメンテーションを施し、周囲を「封じ込め」ます。これを「バーチャルパッチ」として機能させることで、OSのアップデートが間に合わない資産を安全に延命させることが可能です。
- コントロールプレーンの厳格な隔離： Active Directory（AD）やバックアップサーバーは攻撃者の最優先目標です。ADが侵害されれば環境全体が支配され、バックアップが消されれば事業復旧は不可能になります。
- 対策： これらを「特権管理ゾーン」として論理的に分離し、他のサーバー群からの直接通信を遮断してください。アクセスには必ずJIT MFAを経由させる「特権アクセスのゲートウェイ」を設けることが、レジリエンス確保の最低条件です。
- 「1ホップ」での重要資産到達を物理的に遮断する： 多くの環境では、一般社員のPCからドメインコントローラへ直接パケットが届いてしまいます。
- 対策： エンドポイント層とサーバー層の間に「セグメンテーションの壁」を設け、多段階のティアリング（階層化）を強制してください。特に一般端末からの管理プロトコル（RDP/SMB等）の直接到達をゼロにすることが、ランサムウェアの一斉拡散を防ぐ鍵となります。
まとめ レジリエンス（回復力）の高いネットワークを目指して
サイバー攻撃を「水際（境界）で止める」という考え方は、もはや現実的ではありません。これからのネットワーク設計に求められるのは、侵害が発生しても被害を最小化し、事業を継続させる「レジリエンス（回復力）」です。
本記事の要点をまとめます。
- 「封じ込め（Containment）」へのマインドセット転換： 侵入は防げない。しかし、ラテラルムーブメントを構造的に遮断すれば、ビジネスは守れる。
- 3軸でのリスク評価： 「アイデンティティ（誰が）」「ネットワーク（どこへ）」「管理経路（どのように）」の3点で、自社の現状を再評価する。
- 自動化ツールの活用： 複雑化したネットワークは手動では守れない。AIによるポリシー生成と自動化を活用し、運用負荷を下げつつ強度を上げる。
セキュリティ対策は、ビジネスのスピードを落とす「ブレーキ」ではありません。万が一の事故（侵害）が発生した際、乗員の命を守り、車両の全損（事業停止）を防ぐための「シートベルト」や「エアバッグ」と同じです。
まずは、「自社のネットワークが攻撃者の目からどう見えており、最初の1ホップでどこまで到達可能なのか」を客観的に把握することから始めてください。ネットワークマップの可視化や成熟度アセスメントを通じて自社の立ち位置を知ることが、真に強靭なインフラへの第一歩となります。
ラテラルムーブメントのリスクと事業継続を支える「封じ込め戦略」次世代マイクロセグメンテーション Zero Network にご興味をもたれましたら、ぜひ当社までお問い合わせください。
最後に 2026年9月17日に、次世代マイクロセグメンテーション Zero Networks と、マイクロセグメンテーションと組み合わせることで完全なゼロトラストを実現する SASE（Secure Access Service Edge、サッシー）、レガシーなマルウェア対策ソフト（EPP/EDR）と異なり、AI ディープラーニング（深層学習）を利用し高い検知率を誇る次世代エンドポイントソリューション、そして、攻撃者に侵入を許した際に、真っ先に狙われるバックアップデータを安全に保護（イミュータブル化）し、確実な復旧を早期に実現するためのゼロトラストデータ保護ソリューションなど、ゼロトラストに向け、またSCS評価制度★4の取得も見据えたベスト・オブ・ブリードとして、4つのセキュリティソリューションをご紹介するオンラインセミナー（無料）を開催しますので、ぜひご参加ください。
