ネットワーク攻撃

ピボッティングぴぼっていんぐ

侵入ラテラルムーブメント踏み台ペネトレーションテストC2サーバー内部ネットワーク

ピボッティングについて教えて

簡単に言うとこんな感じ！

攻撃者が外から直接入れないシステムに、一度侵入した別のPCを「踏み台」にして侵入していく手法だよ！バスケのピボット（軸足を動かさず方向転換）みたいに、最初に乗っ取ったマシンを軸にして、どんどん内部へ入り込んでいくんだ。

ピボッティングとは

ピボッティング（Pivoting）とは、攻撃者が最初に侵入した端末やサーバーを「中継点（踏み台）」として活用し、そこからさらに内部ネットワークの別のシステムへ侵入を広げていく攻撃手法です。インターネットから直接アクセスできない「内部セグメント」に到達するための迂回戦術で、標的型攻撃やペネトレーションテスト（擬似侵入試験）で頻繁に用いられます。

企業ネットワークでは、外部から直接アクセスできるのは公開サーバーや一部のVPN出口だけで、社内の重要サーバー（DBサーバー・基幹システムなど）はファイアウォールで守られています。ピボッティングはその防壁を、すでに内部にいる端末を中継させることで迂回するところに本質があります。一度内部の足掛かりを得た攻撃者にとって、ピボッティングは「奥の獲物」を狙う鍵となる手技です。

なお、ピボッティングはサイバー攻撃の文脈だけでなく、セキュリティ担当者が組織の防御力を確認するペネトレーションテストでも正当な目的で実施されます。このため「攻撃的セキュリティ（Offensive Security）」の必須スキルとして位置づけられています。

ピボッティングの仕組みと種類

ピボッティングには複数の技術的手法があります。共通するのは「侵害済みのホストを経由して、本来到達できないネットワークへパケットを届ける」という構造です。

手法	概要	使われるツール例
ポートフォワーディング	踏み台ホストのポートを経由して内部ホストへ通信を転送する	SSH `-L` / `-R` オプション
ダイナミックポートフォワーディング（SOCKSプロキシ）	踏み台をSOCKSプロキシとして使い、任意の内部通信を中継する	SSH `-D` / Metasploit `socks_proxy`
VPNトンネリング	踏み台にVPNサーバーを立て、攻撃者PCを内部ネットワークに接続する	OpenVPN / WireGuard
Chisel / ligolo-ng	HTTP(S)でトンネルを張り、ファイアウォールをすり抜ける	Chisel / ligolo-ng
C2フレームワーク経由	C2（コマンド＆コントロール）サーバーのエージェント機能でルーティング	Cobalt Strike / Metasploit

バスケのピボットで覚える！

「軸足（侵害済みホスト）を動かさず、もう一方の足（攻撃の先端）を内部へ踏み出す」

これがピボッティングの語源です。最初の侵害点（足掛かり）を維持しながら、攻撃方向をどんどん変えて内部深くへ侵入していくイメージです。

ピボッティングが成立する条件

攻撃者が少なくとも1台の内部ホストを掌握している
その踏み台ホストが内部ネットワークの別セグメントへ疎通できる
踏み台からのトラフィックがファイアウォールで許可されている（または回避できる）

歴史と背景

1990年代後半〜2000年代前半 — ファイアウォールやDMZ（非武装地帯）による多層防御が普及し始め、外部からの直接攻撃が困難になる。攻撃者は「まず外側の端末を乗っ取り、そこから内部へ」という手順を確立
2003年頃 — Metasploit Frameworkが登場し、ルートシェルからのピボッティング機能が攻撃ツールとして体系化される
2010年代 — APT（高度持続的脅威）攻撃が多発。Stuxnet（2010年）やTargetの情報漏洩事件（2013年）などでピボッティングが実際に使われたことが判明し、概念が広く知られるようになる
2015年頃〜 — ラテラルムーブメント（横方向への侵害拡大）という概念がNIST・MITREのATT&CKフレームワークで整理され、ピボッティングはその中核技術として分類される
2020年代 — クラウド環境・コンテナへの対応も進む。クラウドのメタデータAPIやサービスアカウントを経由したピボッティングが新たな脅威として注目される

ラテラルムーブメントとの関係・攻撃フロー

ピボッティングは、サイバーキルチェーンにおける「横展開（ラテラルムーブメント）」フェーズで使われます。全体の攻撃フローの中での位置づけを図解します。

踏み台とC2サーバーの違い

概念	役割	攻撃者との関係
踏み台（ピボット）	侵害済みの内部ホスト。攻撃の中継点	乗っ取った被害組織の資産
C2サーバー	攻撃者が管理するコマンド＆コントロールサーバー	攻撃者自身が用意したインフラ

両者は別物ですが、C2エージェントが踏み台ホストで動作してピボッティングを実現するケースが多く、組み合わせて使われます。

防御側の対策

対策	内容
ネットワークセグメンテーション	内部ネットワークをVLAN等で細かく分割し、踏み台になっても被害範囲を限定する
最小権限の原則	各ホスト・サービスアカウントの権限を必要最小限に絞る
EDR（Endpoint Detection and Response）	端末上の不審な通信・プロセスをリアルタイムで検知・遮断する
ゼロトラストアーキテクチャ	「内部にいれば信頼できる」という前提を捨て、すべての通信を継続的に検証する
ログ監視・SIEM	内部ネットワーク間の横方向通信を監視し、異常な接続を早期検知する