多層防御の隙間を突く「Living off the Land（環境型攻撃）」

背景と概要

セキュリティソフトやEDRの検知機能を回避するため、攻撃者が新たに悪意あるツールをダウンロードさせるのではなく、OSに標準で備わっている正規の管理コマンドやツール（PowerShell、WMI、PsExecなど）をそのまま悪用する「Living off the Land（LotL）」と呼ばれる攻撃手口が常態化しています。

なぜLotL手口の検知が難しいのか

正規ツールの実行と悪質コマンドの実行が、システム上非常によく似ている点に理由があります。

アンチウイルスによるファイル検出の不発攻撃用の実行ファイル（.exe等）をディスクに保存しない（マルウェアフリー）場合が多く、従来のパターンマッチング型セキュリティでは検知対象となりません。

管理者操作との境界の曖昧さシステム管理者が日常の保守作業で使うコマンドと同一のコマンドが使われるため、ログ上から「悪意ある操作」のみを抽出しにくい課題が生じます。

効果的な検出と対策のポイント

単体の挙動ではなく、操作の親プロセスや実行コンテキストに着目した監視が推奨されます。

親プロセスと子プロセスの関係性（コンテキスト）監視例えば「WordやExcelなどのOfficeアプリからPowerShellが起動された」といった、通常あり得ない実行コンテキストを異常として検知するルールを設定します。

不要な標準管理ツールの利用制限一般ユーザーの端末においては、PowerShellやコマンドプロンプトの実行権限をグループポリシー等で制限し、必要最小限の管理者のみに利用を限定します。

実務で深掘りしたい確認点

PowerShell、WMI、PsExec、標準管理ツールを悪用するLotL攻撃をひとまとまりの管理対象として捉えます。ツール名だけで遮断せず、親子プロセス、実行者、引数、接続先、時間帯を組み合わせます。 単発の警告だけで判断せず、利用者・端末・時刻・変更履歴を関連付けると、通常業務との違いを説明しやすくなります。

発見時の初動と影響確認

不審な処理を隔離し、同じコマンド列と認証情報利用を全端末で検索します。 復旧を急ぐ場合も、後から原因と影響範囲を説明できるよう、時刻、担当者、実施した操作、保全した証拠を残します。外部への通知や専門家への相談が必要かも、扱うデータと業務影響から判断します。

継続運用へ落とし込む方法

管理作業の通常像を記録し、スクリプト署名、権限制限、詳細ログを段階導入します。 導入時だけで終わらせず、例外件数、検知から対応までの時間、再発、利用者からの相談を定期的に確認します。訓練や実際の対応で見つかった手順の曖昧さを更新し、責任者不在時にも動ける状態を維持します。