第2回の最後、フィッシングの図解で“分岐”を見たのを覚えているでしょうか。偽サイトでの認証情報窃取と、もうひとつ——「添付ファイルのマクロが、PowerShellを起動する」という枝。あの瞬間、攻撃は初期アクセス（TA0001）から、今回の実行（TA0002）へとバトンを渡しています。攻撃者の物語は、こうして途切れなく続いているのです。

もうひとつ、この2戦術には深い関係があります。実行は「点」、永続化は「線」です。実行は“いま、コードを動かす”一回きりの行為。でも電源を切れば消えてしまう。そこで攻撃者は、再起動やログオンのたびに自分のコードが自動で動くよう「永続化」を仕込み、一回の侵入を“ずっと使える資産”に変えようとします。だから防御側も、この2つをセットで捉えるのが効果的。「いま動いている怪しいプロセス（実行）」を見つけたら、必ず「どこから自動起動されているのか（永続化）」まで追う——この2段構えが、攻撃者を根こそぎにする鍵になります。

実行（Execution）は、攻撃者が用意したコードを、標的の端末やサーバーの上で実際に動かす戦術です。どんなに巧妙に侵入しても、コードが動かなければ何も起きません。逆に言えば、ここを境に攻撃は“絵に描いた餅”から“現実の脅威”へと変わります。ランサムウェアの暗号化も、情報窃取も、横展開も、すべては「実行」から始まるのです。

実行の手口で、群を抜いて多く使われるのがコマンド・スクリプトインタプリタ（T1059）です。これは、OSに標準で備わったスクリプト実行の仕組みを使う手口で、いくつものサブ技術に分かれています。

スクリプト実行のほかにも、WMI（T1047）＝Windowsの管理機能の悪用、スケジュールタスク（T1053）＝時刻やイベントを引き金にした実行（これは永続化でも大活躍する“二刀流”）、システムサービス（T1569）などがあります。下の図は、第2回のフィッシングから今回の実行へ、攻撃が途切れず連鎖していく様子です。

なぜ攻撃者はPowerShellをこれほど好むのか。理由は3つ。①Windowsに標準搭載されている（追加インストール不要）、②システムを深く操作できる、③ファイルを置かずメモリ上だけで動かせる。とくに③は、従来のウイルス対策ソフトが苦手とする“ファイルレス”につながります。次の章で、この「正規ツールを悪用する」という、現代の攻撃の中核的な発想を見ていきましょう。

現代の攻撃を理解する最重要キーワードが「Living off the Land（土地のもので生きる）」、略してLotLです。そこで悪用される正規ツールをLOLBins（ロルビンズ／Living off the Land Binaries）と呼びます。攻撃者は、マルウェアという“怪しい持ち物”をできるだけ持ち込まず、OSに最初から入っている、署名済みの正規プログラムを悪用して目的を果たします。

代表的なLOLBinsには、powershell.exe のほか、wmic.exe、rundll32.exe、mshta.exe、regsvr32.exe、certutil.exe（本来は証明書管理だがファイルDLに悪用）、bitsadmin.exe などがあります。これらはすべてMicrosoft純正で、業務でも使われる正規ツール。だからこそ、「実行されていること自体は怪しくない」——ここに防御の難しさがあります。

LOLBinsとセットで語られるのがファイルレスマルウェアです。これは、悪意あるコードをディスクに書き込まず、メモリ上だけで動かす手口。ファイルが残らないため、ファイルを走査する従来型ウイルス対策をすり抜けやすいのが特徴です。とはいえ、防御側にも手はあります。ファイルは残らなくても、「プロセスが起動した」「こんなコマンドラインだった」「この親プロセスから生まれた」という“行動の記録”は残せるからです。そこで重要になるのが、次のデータソースです。

これらを使えば、ファイルレスでも“振る舞い”は捉えられます。たとえば、難読化された（Base64エンコードされた）PowerShellの実行は、典型的な危険信号です。Sigmaで書くと、こんな検知ルールになります。tags に defense_evasion（防御回避）が入っているのは、難読化が“次回・第4回のテーマ”でもあるからです。

▲ 正規の運用でPowerShellを -enc（エンコード実行）＋-w hidden（ウィンドウ非表示）で使うことは、まずありません。“正規ツールの異常な使われ方”を捉える、典型的な一行です。

侵入してコードを実行できても、それだけでは“一回きり”。パソコンを再起動すれば、メモリ上のマルウェアは消えてしまいます。そこで攻撃者は永続化（Persistence）——再起動・ログオフ・パスワード変更といった環境の変化を乗り越えて、足場を維持する仕組みを仕込みます。一度苦労して開けた入口を、毎回こじ開け直すのは面倒。だから攻撃者は、「次からは自動で入れる勝手口」を裏に作っておくのです。

なぜ永続化がそれほど重要なのか。攻撃者にとって、一度の侵入を「ずっと使える資産」に変えられるからです。とくに、長期間こっそり潜伏して情報を盗み続ける標的型攻撃（APT）では、永続化は生命線。逆に防御側から見れば、永続化の痕跡こそ「攻撃者がまだ居座っている動かぬ証拠」であり、これを見つけて断ち切ることが、再侵入を防ぐ決定打になります。

下の図は、永続化の本質を1枚で表したものです。再起動やログオンといった“引き金”が引かれるたびに、仕込まれた自動実行ポイントが攻撃者のコードを“復活”させる——この仕組みが永続化です。

代表的な“勝手口”を、ステルス度（見つけにくさ）とあわせて整理します。攻撃者は、目立つものより正規の設定に紛れやすいものを好みます。

表のなかでとくに見落とされがちなのが、アカウントを使った永続化（T1136 新規作成 / T1098 権限付与）です。攻撃者が正規の管理者アカウントをひとつ作ってしまえば、マルウェアを一切置かなくても、堂々と“正面玄関”から再侵入できます。ファイルもプロセスも残さず、ログ上は「正規ユーザーのログイン」に見える——もっとも厄介な勝手口です。これは次回・第4回の認証情報アクセスとも地続きのテーマ。アカウントの新規作成や権限変更（EID 4720 等）の監視は、地味でも極めて重要です。

実行と永続化の痕跡は端末に濃く残る——だからこそ、防御側は積極的に“狩り（ハント）”に出られます。受け身でアラートを待つだけでなく、「全端末の自動起動ポイントを一斉に集め、正常なベースラインから外れたものを探す」。これが、永続化を炙り出す王道です。1台の端末で見つけた“勝手口”が、実は他の何台にも仕込まれている——そんな発見が、被害の全容把握につながります。Velociraptorのようなツールを使えば、こうした横断ハントを数分で実行できます。

▲ 発想は「悪いものを探す」より「正常から外れたものを探す」。ベースライン（正常な状態）を持っておくほど、異常はくっきり見えます。

では、実際にアラートが上がってから、攻撃者を根こそぎにするまでの流れを見てみましょう。実行（点）から永続化（線）へ、そして全体把握へとつなげるのがコツです。

なぜ“待つ”のではなく“狩る”のか。攻撃者の潜伏期間（侵入してから発見されるまでの日数）は、長ければ数か月に及ぶことも珍しくありません。その間、永続化した足場から静かに活動が続きます。アラートを待つ受け身の守りだけでは、この“沈黙の期間”を見逃しかねません。定期的に自動起動を棚卸しし、ベースラインから外れた“住処”を能動的に探す——この狩りの習慣が、潜伏期間を縮め、被害が深刻化する前に攻撃者を追い出す決め手になります。

ログの取得・検知から、横断ハント、そして対応まで——実行・永続化の章は、当サイトの実務記事が密につながる領域です。DFIR完全ロードマップを“地図の索引”として、必要な実践記事を行き来してみてください。

実行と永続化——攻撃者が“動き出し、住みつく”2つの戦術を見てきました。覚えておきたい勘所は2つ。「実行は振る舞い（どう実行されたか）で捉える」「永続化はベースラインからの差分で見つける」。そして、実行（点）を見つけたら永続化（線）まで必ず追う。この姿勢が、攻撃者を根こそぎにします。用語とFAQで仕上げましょう。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む