環境寄生型攻撃(LOTL)とは?正規の仕組みが悪用される理由

環境寄生型攻撃(LOTL)とは何か

環境寄生型攻撃(英語では「Living off the Land」、略してLOTLと呼ばれます)とは、攻撃者がウイルスのような特別な不正プログラムを新たに送り込むのではなく、パソコンやシステムに、もともと標準で備わっている正規の機能やツールを悪用して、不正な操作を行う攻撃手法のことです。

なぜ「見つけにくい」とされるのか

従来のセキュリティ対策の多くは、「怪しい不審なプログラムが侵入していないか」を検知する仕組みが中心でした。しかし環境寄生型攻撃は、普段から業務で使われている正規のツールをそのまま利用するため、通常の業務活動と見分けがつきにくく、セキュリティソフトの監視をすり抜けやすいという特徴があります。

「泥棒が家の合鍵を使う」ようなイメージ

この攻撃手法は、泥棒が窓を割って侵入するのではなく、その家に元々ある合鍵を使って、正面玄関から堂々と入ってくるようなものに例えられます。使われている「鍵(ツール)」自体は正規のものなので、外から見ただけでは、住人(正規の利用者)が出入りしているのか、侵入者が入ってきたのかを区別しにくいのです。

被害を防ぐために重視されていること

この攻撃手法に対しては、「怪しいプログラムがあるかどうか」だけでなく、**「いつもと違う、普段と異なる操作のパターンが起きていないか」**を継続的に監視することが重要とされています。

• 通常業務では使われない時間帯や手順での、正規ツールの操作ログを監視する
• 各利用者に与える操作権限を、業務上必要な最小限の範囲に絞る(以前紹介した「ゼロトラスト」の考え方とも関連します)
• ネットワークの出入り口となる機器やVPNの脆弱性を放置せず、常に最新の状態に保つ

私たちにできること

企業のシステム管理者だけでなく、一人ひとりが「身に覚えのない操作履歴やログイン通知がないか」を日頃から意識しておくことも、早期発見につながります。少しでも不審な点があれば、放置せず管理部門に報告する習慣が大切です。

運営者自身、この言葉を初めて目にした時は理解に時間がかかったため、できるだけ噛み砕いた説明を心がけました。

こうして見ると

環境寄生型攻撃は、「正規のものを装う」からこそ発見が難しい、近年注目度が高まっている攻撃手法です。ふだんの利用パターンとの違いに気づく仕組みづくりが、対策の鍵とされています。