Living off the Land（LotL、環境寄生型攻撃）とは、OSやシステムに標準搭載されている正規のツールや機能を悪用して攻撃を行う手法です。

攻撃者は、PowerShellやコマンドプロンプトなど、日常的に利用される正規ツールに紛れて活動します。

そのため、不正な実行ファイルを検知する従来型のセキュリティ対策では攻撃を見つけにくく、正規の操作と不正な操作を見分けることが難しいという特徴があります。

さらに近年では、攻撃者が社内ネットワークに潜伏し、LotLの手法を用いて侵害範囲を広げ（横展開）、最終的にランサムウェアを実行するケースも見られます。

本記事では、LotL攻撃の仕組みや危険性、被害事例、企業が講じるべき対策について分かりやすく解説します。

「LotL攻撃とは何か」「どのような対策が有効なのか」を知りたい方は、ぜひご一読ください。

Living off the Land（LotL）とは

Living off the Land（LotL）とは、もともと「自給自足」や「現地調達」を意味する言葉で、その土地に存在する資源のみを活用して生活することを指します。

この考え方から派生し、サイバーセキュリティ分野では「環境寄生型攻撃」とも呼ばれます。攻撃者が外部からマルウェアや不正ツールを持ち込むのではなく、ターゲットの環境に標準搭載されている正規のツールや機能を悪用して攻撃を行う手法を指します。

例えば、Windowsに標準搭載されている PowerShell や WMI（Windows Management Instrumentation）、コマンドプロンプトなどが悪用されるケースが代表的です。

これらは本来、システム管理や運用に利用される正規ツールであるため、通常の操作と攻撃による操作を区別しにくく、セキュリティ製品による検知が難しい場合があります。

Living off the Landに悪用されやすいツール

LotL攻撃では、標的環境に存在する正規のツールや機能が悪用されます。代表的なものは以下のとおりです。

攻撃者は、これらのツールや機能を単独で使うだけでなく、複数のツールを組み合わせて攻撃を進めることもあります。

例えば、PowerShellで情報を収集し、WMIなどを悪用して他の端末へ横展開した後、タスクスケジューラを悪用して侵入後も活動できる状態を維持するといった手法が考えられます。

Living off the Landの攻撃の流れ

LotLの手法が用いられる攻撃では、一般的に以下のような流れで被害が拡大していきます。

それぞれの手順について詳しく見ていきましょう。

手順（1）：初期侵入

攻撃者はまず、標的組織のネットワークやデバイスへの侵入を試みます。

代表的な侵入経路としては、フィッシングメールや脆弱性の悪用、漏洩した認証情報の利用などがあります。

この段階では目立った攻撃を行わず、発見を避けながら、静かに内部ネットワークへの足掛かりを確保します。

手順（2）：環境調査・正規ツールの悪用

侵入に成功した攻撃者は、以下のような情報を収集し、環境の調査・把握を行います。

その際、PowerShell や WMI などの正規ツールが悪用されることがあります。

これらは本来、システム管理などに利用されるツールであるため、正規の操作と不正な操作を見分けにくい点が特徴です。

手順（3）：認証情報の窃取

環境調査によって重要なシステムやアカウントを特定した後、攻撃者が認証情報の取得を試みることがあります。

主な標的となる情報は以下のとおりです。

認証情報を取得されると、より高い権限の獲得や、他のシステムへの侵入に悪用される恐れがあります。

手順（4）：ラテラルムーブメント

取得した認証情報などを悪用し、ラテラルムーブメント（Lateral Movement：横展開）が行われる場合があります。

ラテラルムーブメントとは、侵害したデバイスを起点に別のサーバーやPCへ移動し、組織内で侵害範囲を広げていく行為です。

攻撃者は複数のデバイスへ移動しながら、重要なシステムや機密情報が保存されたサーバーを探索し、最終的な目的の実行に向けて準備を進めます。

手順（5）：情報窃取・ランサムウェアの展開

最終段階では、攻撃者が目的に応じた攻撃を実行します。

代表的な攻撃の例としては、以下のようなものが挙げられます。

どれも深刻な被害をもたらす攻撃ですが、中でもランサムウェアを展開された場合の被害は深刻化しやすい傾向があります。

特に近年のランサムウェアは、暗号化を実行する前に機密情報を盗み出し、「支払いに応じなければ盗み出したデータを公開する」とさらに脅迫する「二重脅迫」が一般化しています。

このような攻撃が仕掛けられた場合、システム停止に加え、情報漏洩による信用低下や法的リスクに直面する可能性があります。

Living off the Landの危険性

LotL攻撃の危険性が高いとされる理由として、以下の点が挙げられます。

詳しく確認していきましょう。

セキュリティ製品の検知を逃れやすい

従来のアンチウイルス製品は、不正な実行ファイルや既知のマルウェアを検知することを得意としています。

一方、LotL攻撃では PowerShell や WMI などの正規ツールが悪用されるため、不審なファイルとして検知されず、攻撃が見逃される恐れがあります。

そのため、ファイルの検知だけでなく、ツールの使用方法や挙動までを監視することが重要です。

正規の作業と区別しづらい

LotL攻撃で悪用される PowerShell や WMI、リモートデスクトップなどは、本来システム管理や運用保守で利用される正規ツールや機能です。

例えば、PowerShell によるコマンド実行やサーバーへのリモート接続は、日常的な管理業務でも行われます。

そのため、ログだけでは正規の操作と攻撃者による不正な操作を区別しにくく、異常の発見が遅れる恐れがあります。

結果として、攻撃者の潜伏期間が長期化し、被害が拡大するリスクがあります。

痕跡が残りにくい

LotL攻撃は、ファイルレス攻撃と組み合わせて利用されるケースがあります。

ファイルレス攻撃とは、マルウェアなどの不正なプログラムをディスク上に保存せず、メモリ上などで実行する攻撃手法です。

例えば、PowerShellなどの正規ツールを悪用してファイルレス攻撃が行われると、デバイス上に不審な実行ファイルが残らない場合があり、通常のファイルスキャンだけでは検知が難しくなります。

その結果、攻撃経路や侵害範囲の特定が難しくなり、原因調査や被害の全容把握に時間を要する可能性があります。

被害が拡大しやすい

LotLの手法は、侵入後のラテラルムーブメント（横展開）に悪用されるケースもあります。

攻撃者は、窃取した認証情報や取得した権限を利用し、サーバーや他のデバイス、業務システムなどへ侵害範囲を広げていきます。

その過程でも、PowerShellやWMI、PsExec、リモートデスクトップなどの正規ツールや機能が悪用されるため、不正な操作を発見しにくい場合があります。

その結果、機密情報の窃取やランサムウェアの展開など、より深刻な被害へ発展するおそれがあります。

Living off the Landとファイルレス攻撃の違い

前述の通り、LotL攻撃とファイルレス攻撃は、組み合わせて実行されるケースがあります。

この2つは混同されやすいものの、同じ攻撃手法ではありません。

LotLは、PowerShell や WMI など、標的環境に存在する正規のツールや機能を悪用する攻撃手法です。

一方、ファイルレス攻撃は、不正な実行ファイルをディスク上に残さず、メモリや正規機能などを利用して攻撃を実行する手法を指します。

つまり、LotLは「何を使うか（正規ツールの悪用）」、ファイルレス攻撃は「どのように実行するか（不正な実行ファイルを残さない）」という違いがあります。

例えば、PowerShell を悪用してメモリ上で不正なコードを実行するケースは、LotLとファイルレス攻撃の両方に該当する場合があります。

ただし、すべてのLotL攻撃がファイルレス攻撃とは限りません。

正規ツールを悪用して不正ファイルをダウンロード・実行するケースなど、LotLであってもファイルレスではない攻撃もあります。

このように、LotLとファイルレス攻撃は重なる部分があるものの、それぞれ異なる観点から分類される攻撃手法です。

Living off the Landの被害事例

2025年4月、国内の大手通信企業が提供する法人向けメールセキュリティサービスへの不正アクセスによる、大規模な情報漏洩が公表されました。

本事案では、当該サービスで作成された電子メールのアカウント・パスワードや、連携する他社クラウドサービスの認証情報など、重複を除く586契約の情報が漏洩したことが確認されています。

攻撃者は、当該サービスで使用されていた第三者製ソフトウェアのゼロデイ脆弱性を悪用して侵入し、その後、約8カ月にわたって侵害活動を検知されなかったことが報告されています。

長期間にわたって検知が困難だった要因のひとつが、LotL の手法です。

攻撃では、システム内に存在する正規のツールを悪用する LotL の手法が用いられており、通常の不正通信などを検知する仕組みでは発見が難しかったとされています。

本事案を受け、当該企業はサービス設備における振る舞い検知機能の強化や、WAF の多層化などの対策を進めています。

Living off the Landへの対策

LotL 攻撃は、PowerShell や WMI などの正規ツールを悪用するため、従来型のアンチウイルスだけでは十分に対処することが困難です。

そのため、デバイス・ネットワーク・ユーザーなど、複数のレイヤーで対策を講じることが重要です。

ここでは、LotL攻撃のリスクを低減するために、企業が実施すべき6つのセキュリティ対策を紹介します。

詳しく見ていきましょう。

EDRやXDRの導入

LotL攻撃は、正規ツールを悪用して実行されるため、従来型のアンチウイルスでは検知が難しい場合があります。

そのため、EDRやXDRなどを活用し、不審な挙動を監視・検知することが重要です。

「EDR（Endpoint Detection and Response）」とは、PCやスマートフォン、サーバーなどのエンドポイントにおける不審な挙動を検知し、迅速な対応を支援するセキュリティソリューションです。

エンドポイント上の各種ログを継続的に収集・分析することで、マルウェアの実行や不審な挙動を検知することが可能です。

「XDR（Extended Detection and Response）」は、エンドポイントやネットワークなど、複数の領域からセキュリティデータを収集・分析し、脅威の検知や対応につなげる仕組みです。

EDRがエンドポイントの監視・検知に重点を置くのに対し、XDRは複数のセキュリティ領域から得られるデータを横断的に分析することで、脅威の早期発見やインシデント対応を支援します。

このようなツールを導入することで、正規ツールを悪用した不審な挙動を早期に検知し、LotL攻撃による被害の拡大を防ぎやすくなります。

ネットワーク分離

ネットワークを適切に分離（セグメンテーション）することで、万が一攻撃者に侵入された場合でも、被害の拡大を抑えやすくなります。

特に、重要なシステムや機密情報を扱うサーバーを一般業務用のデバイスと分離することで、ラテラルムーブメント（横展開）のリスクを低減できます。

ログ監視

LotL攻撃では正規ツールが悪用されるため、不審なファイルの検知だけでなく、ログを継続的に監視することが重要です。

PowerShell の実行履歴や管理ツールの利用状況、ネットワークの通信ログなどを分析することで、通常とは異なる挙動の早期発見につながります。

また、SIEMやEDRを活用し、複数のログを横断的に監視・分析することも有効です。

継続的にログを監視することで、正規ツールを悪用した不審な操作を早期に発見し、LotL攻撃による被害の拡大を抑えやすくなります。

アクセス権限の最適化

ユーザーやシステムに付与する権限は必要最小限にとどめる「最小権限の原則」が重要です。

管理者権限を持つアカウントを限定し、不要な権限を削減することで、攻撃者に侵入された場合でも、アクセスできるシステムや情報を制限できます。

このようにアクセス権限を適切に管理することで、正規ツールを悪用した権限昇格やラテラルムーブメント（横展開）を抑制し、LotL攻撃による被害の拡大を防ぎやすくなります。

セキュリティパッチの適用

LotLの手法を用いる攻撃では、初期侵入の段階でOSやソフトウェアの脆弱性が悪用されるケースがあります。

そのため、OSやソフトウェアを最新の状態に保ち、ベンダーから提供されるセキュリティパッチを迅速に適用することが重要です。

また、適用漏れを防ぐため、IT資産管理ツールなどを活用してパッチの適用状況を一元管理することも有効です。

脆弱性を適切に修正することで、攻撃者に初期侵入の足掛かりを与えるリスクを低減し、その後のLotLによる攻撃活動を防ぐことにつながります。

従業員への情報セキュリティ教育の実施

LotLの手法を用いる攻撃では、初期侵入の手段としてフィッシングメールを送り、偽サイトへ誘導して認証情報を窃取するケースもあります。

そのため、従業員に対して定期的なセキュリティ研修や標的型攻撃メール訓練を実施し、不審なメールやWebサイトを見分ける力を身につけてもらうことも欠かせない対策のひとつです。

従業員のセキュリティ意識を高めることで、攻撃者による初期侵入のリスクを低減し、その後のLotLを用いた攻撃活動を防ぐことにつながります。

LotL攻撃の検知・対応を強化する「Auroraシリーズ」

LotL攻撃では、PowerShell や WMI などの正規ツールが悪用されるため、従来型のアンチウイルスによる不正ファイルの検知だけでは、攻撃を見逃してしまう可能性があります。

そのため、LotL攻撃への対策では、エンドポイント上の挙動を継続的に監視し、正規ツールを悪用した不審な操作を検知・調査できるEDRの活用が有効です。また、検知した脅威に迅速に対応するためには、アラートを継続的に監視・分析する運用体制も重要です。

そこで、ここからはLotL攻撃の検知・対応を強化するAuroraシリーズについて紹介します。Auroraシリーズでは、以下の3つの製品・サービスを提供しています。

AIアンチウイルスによるマルウェアへの事前対策に加え、EDRによる侵入後の不審な挙動の検知・調査、MDRによる24時間365日の監視・運用を組み合わせることで、LotLを含むサイバー攻撃への検知・対応体制を強化できます。

以下では、Auroraシリーズの各製品・サービスの特徴を紹介します。

次世代AIアンチウイルス「Aurora Protect」

「Aurora Protect」は、AI（人工知能）を活用した次世代型アンチウイルス製品（NGAV）です。

AIの機械学習によってマルウェアの特徴を分析し、その結果をもとに、未知・亜種を含むマルウェアやランサムウェアを実行前に検知・隔離します。

また、シグネチャの更新が不要なため、運用負荷を軽減できる点も特長です。さらに、CPU負荷は平均0.3％と低く、業務パフォーマンスへの影響を抑えながら運用できます。

LotLの手法を用いる攻撃では、正規ツールの悪用とマルウェアによる攻撃が組み合わされるケースもあります。

Aurora Protectでマルウェアへの事前防御を行い、後述するEDR「Aurora Focus」と組み合わせることで、侵入後の不審な挙動の検知・対応まで対策を強化できます。

運用コストが少ないEDR「Aurora Focus」

「Aurora Focus」は、AIアンチウイルス「Aurora Protect」のオプションとして利用できるEDRです。

エンドポイント上の挙動を監視し、脅威を検知した際には、インシデントの調査や感染端末のネットワーク隔離など、検知後の対応を支援します。

Aurora Protectと組み合わせることで、マルウェアへの事前対策に加え、侵入後の不審な挙動の検知・調査まで、エンドポイントを侵入前後の両面から保護できます。

PowerShell や WMI などの正規ツールを悪用するLotL攻撃では、不正ファイルだけでなくエンドポイント上の挙動を監視することが重要です。

Aurora Focusを活用することで、こうした不審な挙動の早期発見と迅速な対応につなげられます。

専門家が24時間365日監視するMDR「Aurora Managed Endpoint Defense」

EDRを導入しても、検知したアラートを適切に分析し、脅威の有無を判断して迅速に対応するには、専門的な知識や運用体制が必要です。

「Aurora Managed Endpoint Defense」は、「Aurora Protect」と「Aurora Focus」をセキュリティの専門家が24時間365日体制で監視・運用するMDRサービスです。

専門家がお客様に代わってアラートを監視・分析し、対応が必要な脅威を厳選して通知します。また、緊急時には脅威への対応も行うため、セキュリティ担当者の運用負荷を軽減しながら、継続的な監視・対応体制を構築することが可能です。

正規の操作に紛れて進行するLotL攻撃に備えるためには、不審な挙動を検知するだけでなく、検知後に迅速に分析・対応できる体制も重要です。

「Aurora Managed Endpoint Defense」を活用することで、自社の運用負荷を抑えながら、専門家による24時間365日の監視・対応体制を構築し、LotLを含むサイバー攻撃への対応力を強化できます。

3分で分かる！
Aurora Managed Endpoint Defense

世界トップレベルの専門家が24時間365日監視するMDRサービスについて、製品概要や一般的な製品との比較などをわかりやすく解説します。

資料をダウンロードする

LotL攻撃の早期検知に役立つNDR「Darktrace」

​
LotL攻撃では、正規ツールを悪用してラテラルムーブメント（横展開）などを行うケースがあります。

そのため、エンドポイントだけでなく、ネットワーク上で発生する通常とは異なる通信を監視することも重要です。

「Darktrace」は、企業・組織のネットワークトラフィックを収集・分析し、ネットワーク全体の通信状況を可視化するとともに、異常な挙動を検知するNDRソリューションです。

AIによる機械学習を用いた通信分析によって、組織ごとの通常の通信パターンを自己学習し、そこから逸脱する不審な通信を検知します。

さらに、AIが脅威レベルを自動で判断し、危険な通信を自動で遮断することで、サイバー攻撃による被害の抑制と管理者の運用負荷軽減を支援します。

また、ネットワークに加えて、クラウドやテレワーク環境、Eメール、SaaSなど、幅広いIT環境の監視にも対応しています。

LotL攻撃への対策では、EDRによるエンドポイントの監視に加えて、NDRによってネットワーク上の異常な通信を監視することで、ラテラルムーブメントなどの不審な活動を早期に発見しやすくなります。

Darktraceの機能や導入について詳しくは、製品ページをご覧ください。

まとめ

本記事では「LotL」をテーマに、攻撃の流れや危険性、具体的な対策などを解説しました。

LotL攻撃は、正規ツールを悪用するため、通常の管理作業との区別が難しく、攻撃の発見が遅れるおそれがあります。

そのため、企業・組織では、EDRなどによるエンドポイントの監視に加えて、ネットワーク分離やログ監視、アクセス権限の適切な管理など、複数の対策を組み合わせてセキュリティを強化することが重要です。

本記事で紹介した「Auroraシリーズ」では、次世代AIアンチウイルス「Aurora Protect」を中心に、EDR「Aurora Focus」、MDR「Aurora Managed Endpoint Defense」を提供しています。

マルウェアへの事前対策から、侵入後の不審な挙動の検知・対応、専門家による24時間365日の監視・運用まで、エンドポイントセキュリティを段階的に強化できます。

さらに、ネットワーク上の異常な通信を検知するNDR「Darktrace」を組み合わせることで、エンドポイントとネットワークの両面から脅威の早期発見・対応を支援します。

LotLを含むサイバー攻撃への検知・対応体制を強化したい企業・組織の方は、ぜひ「Auroraシリーズ」や「Darktrace」の導入をご検討ください。

3分で分かる！
Aurora Managed Endpoint Defense

世界トップレベルの専門家が24時間365日監視するMDRサービスについて、製品概要や一般的な製品との比較などをわかりやすく解説します。

資料をダウンロードする