¿Se puede detectar el movimiento lateral en tráfico cifrado?

En gran medida, sí: quién se conecta con quién, por qué puerto, cuándo y cuántos datos se mueven es visible sin descifrar. Lo que queda oculto es el contenido de la sesión, como los comandos enviados en una sesión remota cifrada.