Living off the Land（LotL）とは？

📅 最終更新：2026年8月2日

【読み方】

リビング・オフ・ザ・ランド

【英語表記】
Living off the Land（LotL）
（リビング・オフ・ザ・ランド）

Living off the Land（LotL）とは、攻撃対象のコンピューターやネットワーク環境にもともと存在する正規のツールや機能を悪用して攻撃活動を行う考え方・手法です。

日本語では「環境寄生型攻撃」などと表現されることがありますが、日本語訳は必ずしも統一されていません。

通常、攻撃者が独自のマルウェアや攻撃ツールを持ち込めば、そのファイル自体がセキュリティ製品に検知される手掛かりになる可能性があります。

しかし、攻撃対象のシステムに最初から存在する正規ツールを利用すれば、新しい攻撃ツールを持ち込む量を減らせる場合があります。

Windows環境で悪用される可能性のあるものとして、たとえば、

などがあります。

これらは本来、システム管理やソフトウェアの実行などに使用される正規の機能・ツールです。

したがって…

「PowerShellが動いた＝攻撃」

…という単純な判断はできません。

システム管理者や正規ソフトウェアも日常的に使用する可能性があるからです。

ここにLiving off the Landを検知する難しさがあります。

攻撃者は正規ツールを利用して、

などの活動を行う場合があります。

つまり、悪意のある「道具」を持ち込むのではなく、侵入先にすでに存在する道具を攻撃目的に転用するわけです。

Living off the Landを理解するときに重要なのは、

「正規ツールか、悪意のあるツールか」だけを見ても攻撃を判断できないという点です。

たとえばPowerShell自体はマルウェアではありません。

しかし、誰が、いつ、どの権限で、どのコマンドを、何の目的で実行したのかによって意味が大きく変わります。

これは防御側にとって難しい問題です。

明らかなマルウェアファイルであれば、そのファイルや特徴を検知できる可能性があります。

ところが攻撃者が正規の機能を利用すると、

正常な管理作業と攻撃者による不正な操作を区別する必要が出てきます。

そのためLiving off the Landへの対策では、単純に「このプログラムが実行された」という情報だけではなく…

実行したユーザー
親子プロセスの関係
実行されたコマンド
実行された時間
接続先
前後に発生した別のイベント

…など、複数の情報を組み合わせて判断することが重要になります。

ここでも、ログ、テレメトリ、EDR、監査ログ、そしてフォレンジック可観測性が関係してきます。

ネット探検ラボではLiving off the Landを、「攻撃者は必ずしも外から武器を持ち込むわけではない。侵入先にある正規の道具そのものが武器になり得る」ことを理解するための重要な概念として捉えます。