防御回避とは？

📅 最終更新：2026年8月2日

【読み方】

ボウギョ・カイヒ

【英語表記】
Defense Evasion
（ディフェンス・イヴェイジョン）

【一般的な意味】

“防御回避（Defense Evasion）”とは、攻撃者がセキュリティ製品による検知や、防御側による発見・分析・追跡を避けながら活動するために行うさまざまな行為を指します。

攻撃者にとって、システムへ侵入するだけでは目的を達成できない場合があります。

侵入後も…

• セキュリティ製品に検知されない
• 管理者に発見されない
• 自分の活動を追跡されない
• 攻撃に使用した痕跡を残さない
• 必要な時間だけ内部で活動を継続する

…といったことが重要になります。

そのため攻撃者は、防御側の監視やセキュリティ機能を回避するため、さまざまな手法を利用します。

たとえば…

• セキュリティ製品を停止・無効化する
• 正規のシステムツールを悪用する
• ファイルや通信を難読化する
• 不正ファイルを隠す
• ログや履歴を削除する
• 攻撃に使用したファイルを削除する
• ファイルのタイムスタンプを変更する
• セキュリティ監視を回避する

…などです。

MITRE ATT&CKでは、“Defense Evasion（防御回避）”は攻撃者の行動目的を整理した「Tactic（戦術）」の一つとして位置付けられています。

その下に、多数のTechnique（技法）が整理されています。

前項で解説した“痕跡隠蔽（Indicator Removal）”も、その一つです。

したがって大まかな関係は…

防御回避 ＞ 痕跡隠蔽 ＞ ログの削除・改ざんなど

と理解すると分かりやすくなります。

防御回避は特定の一つの攻撃方法を意味するのではなく、「防御側に見つからず活動する」という攻撃者側の目的を表した大きな概念です。

【ネット探検ラボでは】

ネット探検ラボでは、防御回避を理解するときに、

「攻撃者は、防御側が用意した監視環境の中で素直に行動してくれるわけではない」

という視点を重視します。

EDR、アンチウイルス、ファイアウォール、IDS/IPS、ログ監視などを導入していても、攻撃者は当然、それらに発見されない方法を探します。

つまりサイバー攻撃では…

• 防御側が検知する。
• 攻撃側が検知を回避する。
• 防御側がさらにその回避行動を検知する。

…という攻防が繰り返されます。

また、ログの削除やセキュリティ製品の停止などは、防御側から見れば「困ったこと」である一方、それ自体が重要な兆候になる場合があります。

たとえば…

• なぜ突然ログが消えたのか。
• なぜセキュリティ機能が停止したのか。
• なぜ通常とは異なる方法で正規ツールが実行されたのか。

…という異常を捉えることで、防御回避を試みる攻撃者を発見できる可能性があります。

そのためネット探検ラボでは、防御回避を単なる「検知をすり抜ける技術」としてではなく、攻撃者と防御側による「見つける／見つからない」の攻防を理解するための重要な概念として捉えます。