【かんきょうきせいがたこうげき】

環境寄生型攻撃（LotL）とは？

最終更新: 2026年10月4日

💡 環境にある正規の道具を悪用し、管理作業に紛れる攻撃

標的環境にある正規のツールや機能を悪用する攻撃手法。通常の管理作業に紛れやすいため、ツール名だけでなく実行の状況や振る舞いを調べる必要がある。

📌 このページのポイント

正常利用と悪用の比較で、必ず同時に両方が起こるという意味ではありません。LotLは手法、LOLBinsは悪用される正規バイナリです。Windows以外でも起こり、EDRも設定や検証が必要です。

ひよこ

環境寄生型攻撃って、何が「寄生」しているの？

ペンギン先生

攻撃者が、標的環境にある正規のツールや機能を悪用するんだ。専用の攻撃ツールを持ち込む必要を減らし、普通の管理作業に紛れようとするよ

ひよこ

正規のツールってたとえば何があるの？

ペンギン先生

WindowsのPowerShellやcmd.exeなどが例だよ。LinuxやmacOSでも起こるんだ。正規ツールを使ったというだけでは、正常な作業か攻撃かは判断できないね

ひよこ

マルウェアを使わない攻撃という意味なの？

ペンギン先生

必ずそうとは限らないよ。LotLは正規の道具を悪用する手法を指していて、ファイルが残らないことやマルウェアを併用しないことを保証する名前ではないんだ

ひよこ

ウイルス対策ソフトでは検出できないの？

ペンギン先生

検出できないと断定はできないよ。ただ、信頼されているツールの実行が通常の作業に紛れるため、悪意あるファイルの特徴だけに頼ると見逃しやすいんだ。実行元・引数・通信先などの状況も確認する必要があるね

ひよこ

どうやって防げばいいの？

ペンギン先生

コマンド実行などのログを集め、普段と違うプロセスの組み合わせや動作を調べるよ。EDRも役立つけれど、設定や検証が必要なんだ。業務に必要な利用を確認しながら、権限や実行できるツールも制限しようね

まとめ：ざっくりこれだけ覚えればOK！

「LotL攻撃」って出てきたら「環境にある正規ツールを悪用する攻撃」と思えばだいたいOK！

📖 おまけ：英語の意味

「Living Off the Land」＝現地にあるもので生活する

💬 標的の環境にある道具を利用する、というイメージの言葉だよ。LotLは手法、LOLBinsはその手法で悪用される正規バイナリを指すんだ

参考資料