痕跡隠蔽とは？

📅 最終更新：2026年8月2日

【読み方】

コンセキ・インペイ

【英語表記】
Indicator Removal
（インジケーター・リムーバル）

“痕跡隠蔽（Indicator Removal）”とは、サイバー攻撃を行った攻撃者が、自分の侵入や活動を発見・追跡されにくくするために、システム内部に残った痕跡を削除・変更・隠蔽する行為です。

攻撃者がコンピューターやネットワークへ侵入すると、さまざまな場所に活動の痕跡が残る可能性があります。

たとえば…

…などです。

こうした情報は、防御側がインシデントを調査する際の重要な手掛かりになります。

そのため攻撃者は、自分の活動を発見されにくくしたり、後から行われるフォレンジック調査を困難にしたりするために、痕跡を消そうとすることがあります。

具体的には、

などの行為が考えられます。

MITRE ATT&CKでは、このような攻撃者行動をIndicator Removalとして整理しており、防御回避（Defense Evasion）に関連する攻撃手法として扱っています。

重要なのは、痕跡隠蔽そのものも攻撃者の行動だという点です。

たとえば大量のログが突然削除されたり、監査機能が停止されたりした場合、その行為自体が侵害を示す兆候となることがあります。

ネット探検ラボでは、痕跡隠蔽を“「攻撃者が帰り際に掃除をする行為」だけとは考えません。”

高度な攻撃では、侵入して活動しながら継続的に痕跡を減らし、発見を遅らせようとする可能性があります。

つまり攻撃者と防御側の間では、

攻撃者は痕跡を残さないようにする。
防御側は痕跡をできるだけ残そうとする。

という攻防も発生します。

そこで重要になるのが、ログ保持、監査ログ、テレメトリ、フォレンジック可観測性などです。

攻撃対象となった端末だけにログを保存していれば、攻撃者が高い権限を取得した際に、その記録まで削除される可能性があります。

一方、ログを別のシステムへ転送したり、EDRやネットワーク機器、クラウド側にも記録を残したりしていれば、一か所の痕跡が消されても別の場所から攻撃者の行動を追跡できる可能性があります。

また、「ログがない」という事実だけを見るのではなく、

「本来存在するはずのログが、なぜ存在しないのか」と考えることも重要です。

ネット探検ラボでは、痕跡隠蔽を理解することは、攻撃者がどのように調査や検知を妨害するのかを理解し、「消されることまで想定した防御」を設計するために重要だと考えます。