永続化（攻撃手法） とは？

その通り。普通、パソコンを再起動したりセキュリティパッチを当てたりすると攻撃者の接続は切れるよね。でも永続化の仕掛けがあると、再起動後も自動的にマルウェアが動き出して、攻撃者がまたアクセスできるようになるんだよ。

代表的なのはWindowsのレジストリに起動時実行プログラムを登録する方法や、タスクスケジューラに定期実行を仕込む方法だね。Linuxならcronジョブに悪意あるスクリプトを仕込んだり、.bashrcに紛れ込ませたりするんだ。

巧妙な攻撃者は正規のシステム機能を悪用するから見つけにくいんだ。例えばWindowsサービスとして登録すれば、一見すると普通のソフトウェアに見える。DLLサイドローディングといって、正規アプリの読み込むファイルをすり替える手法もあるよ。

あるよ。UEFIファームウェアに感染するブートキットは、OSを再インストールしても消えないんだ。2022年に発見されたBlackLotusというブートキットはSecure Bootすら回避できたことで大きな話題になったよ。

EDRでレジストリ変更やサービス登録をリアルタイム監視するのが基本だね。あとは「ベースライン比較」といって、正常な状態のシステム構成を記録しておいて、定期的に差分を確認する方法も有効だよ。MITRE ATT&CKのPersistenceタクティクスには20以上の手法が列挙されているから、防御側はそれを網羅的にチェックすることが大切だね。