ランドからの生計（LotL）
Living off the Landの定義
サイバーセキュリティのコンテキストにおけるLiving off the Land（LotL）は、攻撃者がシステム上に存在する既存のツールやユーティリティを利用して悪意ある活動を行う戦術を指します。従来のマルウェアに頼るのではなく、PowerShell、Windows Management Instrumentation（WMI）、その他の管理ツールなどの正規のシステムコンポーネントを活用して攻撃を行います。LotL攻撃は、システム上の通常の信頼された活動に溶け込むため、セキュリティソリューションによる検出を回避することがよくあります。
Living off the Landの仕組み
攻撃者は、対象システムに組み込まれているスクリプト言語、コマンドラインインタープリタ、またはシステム管理ツールなどのツールやユーティリティを利用します。これらの正規のツールを利用することで、攻撃者はネットワーク内を横断しながら移動し、情報収集、コマンドの実行、その他の悪意ある行動を行います。LotL攻撃は、内蔵されたリソースを使用してタスクをスケジュールしたりシステム構成を操作することで、侵害されたシステム上で持続性を保つために使用されることがあります。
Living off the Land攻撃の予防策
Living off the Land攻撃に対抗するために、組織やユーザーが講じることができる予防措置を以下に示します。
アプリケーション制御とホワイトリストを実装する: ネイティブシステムツールの無許可の使用を防ぐために、アプリケーション制御手段を実装し、既知の正規プログラムをホワイトリストに登録することが重要です。承認されたアプリケーションのみを実行できるようにすることで、攻撃者が信頼されたツールを悪用するリスクを低減できます。
システム活動を定期的に監視する: システムの異常な行動や信頼されたシステムユーティリティの異常な使用を検出するために、定期的にシステム活動を監視することが重要です。これは、セキュリティ情報およびイベント管理（SIEM）ソリューションを使用するか、システムログを分析して疑わしい活動パターンを探すことで達成できます。異常な活動を早期に特定することで、攻撃者がさらなる損害を引き起こす前に適切な対策を講じることができます。
エンドポイント検出と対応（EDR）ソリューションを活用する: ネイティブシステムコンポーネントに関連する疑わしい活動を検出して対応するために、EDRソリューションを展開することが効果的な方法となります。EDRソリューションはシステムイベント、ネットワークトラフィック、ファイル活動をリアルタイムで監視し、潜在的なLotL攻撃を迅速に検出および対応することを可能にします。
システムとソフトウェアを常に最新に保つ: システムやソフトウェアを定期的に更新することは、セキュリティを維持し、攻撃者によって悪用される可能性のある既知の脆弱性から保護するために重要です。オペレーティングシステム、アプリケーション、およびセキュリティソフトウェアが最新のセキュリティ修正と更新でパッチされ、更新されていることを確認してください。これにより、攻撃者が既知の脆弱性を利用してLiving off the Land攻撃を実行する可能性が減少します。
教育と意識を高める: 組織は、Living off the Land攻撃に関するリスクと手法を従業員に教育するためにサイバーセキュリティ意識向上トレーニングに投資するべきです。意識を高め、システム管理とセキュリティのためのベストプラクティスに関する指導を提供することで、従業員はそのような攻撃に対抗する効果的な防御ラインになることができます。
ネットワークセグメンテーションと最小特権を実施する: ネットワークセグメンテーションと最小特権ポリシーは、Living off the Land攻撃の潜在的な影響を制限できます。必要に応じた基準に基づいて、重要なシステムやリソースへのアクセスを制限することで、攻撃者の横方向への移動を抑え、成功する攻撃の可能性を減らすことができます。
脆弱性評価とペネトレーションテストを定期的に実施する: 定期的な脆弱性評価とペネトレーションテストを実施することで、攻撃者が悪用できるシステムやアプリケーションの潜在的な弱点を特定できます。積極的に脆弱性を特定し、対処することで、Living off the Land攻撃の成功のリスクを最小限に抑えることができます。
関連用語
- Command and Control (C2): 攻撃者が侵害されたシステムやマルウェアを遠隔で管理および制御するためのメカニズム。
- Privilege Escalation: 攻撃者が脆弱性を悪用して、システムまたはネットワーク内でより高レベルのアクセス権限を得るプロセス。