Living off the Land（LotL）攻撃は、ランサムウェアグループから国家支援の攻撃者に至るまで、高度な攻撃者の特徴となっています。カスタムマルウェアを展開する代わりに、攻撃者はPowerShell、Windows Management Instrumentation（WMI）、certutil、bitsadminなどの組み込みシステムツールを悪用して、通常の管理トラフィックに溶け込みながら悪意のある活動を実行します。これにより、従来のシグネチャベースの防御では検出が非常に困難になります。ブルーチームがLotLを防御するには、既知の悪意のあるものをブロックすることから、異常な動作を検出することへの考え方の転換が必要です。主要な戦略には、包括的なロギング（PowerShellスクリプトブロックログ、Windowsイベントログなど）の有効化、行動分析とUEBA（User and Entity Behavior Analytics）の実装、プロアクティブな脅威ハンティングの実施が含まれます。このガイドでは、ファイルレス実行、WMIを介した横方向の移動、組み込みツールを使用した資格情報ダンプなどの一般的なLotL手法を理解するための構造化されたアプローチを提供し、実践的な検出および緩和策を概説します。また、アプリケーションホワイトリスティング、制約付き言語モード、ネットワークセグメンテーションの重要性についても説明します。SOCアナリストやインシデントレスポンダーにとって、LotL防御を習得することは、現代の脅威に先んじるために不可欠です。
Living off the Land（LotL）攻撃は、PowerShell、WMI、certutilなどの正規のシステムツールを悪用して検知を回避するため、ブルーチームにとって最大の関心事です。この記事では、LotL手法の包括的な概要と、ロギング、行動分析、脅威ハンティングを含む実践的な防御戦略を提供します。ステルス性の高い攻撃者から組織の防御を強化したいセキュリティエンジニアにとって貴重なリソースです。