侵入した攻撃者が、OSに最初から入っている管理用の機能や、正規のリモート操作ソフトを使って活動する手口です。英語でLiving off the Land（LotL：その土地にあるもので暮らす）と呼ばれます。使われるのは正規のソフトなので、「悪いファイルを見つける」タイプのウイルス対策ソフトでは見つけにくいのが特徴です。
なぜ攻撃者は正規ツールを使うのか
- 新しいファイルを持ち込まないので、検知されにくい
- 管理者の通常業務と区別がつきにくい
- どの会社のパソコンにも入っているので、準備がいらない
守る側の考え方
「悪いソフトかどうか」ではなく、「この人が、この時間に、この操作をするのはおかしくないか」というふるまいで見つける必要があります。
- EDRで、端末上のコマンドの実行や通信の流れを記録・分析する（解説）
- ログの記録と監視：管理機能の実行ログ、ログインの記録を集めて、普段と違う動きを探す（解説）
- 権限を絞る：一般の利用者には管理機能を使わせない、使っていないリモート操作ソフトは削除する（最小権限）
エンジニア向けの補足：PowerShellのスクリプトブロックログ、プロセス生成の記録（コマンドライン引数を含む）を有効にしておくと、事後の調査でも役立ちます。ただしログは保存期間と容量の設計が必要です。
出典：JPCERT/CC