侵入した攻撃者が、独自のマルウェアをできるだけ使わずに、PowerShellやWMI、標準のリモート管理の機能など、もともとOSに入っている正規のツールで活動する手法を「環境寄生型(Living off the Land)」と呼ぶ。この手法への対策の考え方として、最も適切なものはどれか。

正解：C. 正規のツールが誰によって、どの引数で、どの親プロセスから実行されたかを記録して、ふだんと違う使われ方を検知し、管理用のツールを使える人や端末を絞る

環境寄生型の攻撃では、使われるプログラム自体は正規の署名付きのものなので、ファイルの特徴で既知のマルウェアを見分ける方法では検知できません。そこで、EDRやOSのログ(PowerShellのスクリプトの記録や、プロセスの起動の記録など)で、コマンドの引数や親子関係を集め、「文書ファイルを開いたアプリケーションからPowerShellが起動された」「エンコードされた長いコマンドが実行された」といった、ふだんの業務と違う使い方を手掛かりに検知します。あわせて、管理用のツールを使える利用者や端末を限り、実行できるアプリケーションを許可したものだけに絞ることで、攻撃者が使える道具を減らします。

• A. 正規のツールは署名が正しいので、署名を確かめても、不正な使い方は見分けられません。
• B. 入口の防御だけでは、すり抜けた攻撃を止められません。侵入後の検知と対応も必要です。
• C. 正しい。誰が、何を、どのように実行したかを記録して振る舞いで検知し、使える範囲も絞ります。