第3回の最後、永続化のところで「アカウントを使った勝手口」と「難読化」が次回への布石だと触れました。その2つが、今回まさに本題になります。攻撃者は、住みついた足場を守るために検知の網から身を隠し（防御回避）、同時に、もっと奥へ進むための認証情報という“合鍵”を奪い始めます（認証情報アクセス）。この2つは、攻撃者にとって“潜伏”と“拡大準備”を同時に進める、車の両輪なのです。

防御回避は、性質上「防御側の検知」との直接対決です。攻撃者は、私たちが仕掛けた監視やセキュリティ製品を、かいくぐり、止め、痕跡を消そうとします。いたちごっこに見えますが、ここに大事な逆説があります。「消す・隠す・止める」という行為そのものが、新たな痕跡になるのです。ログが突然消えた、セキュリティ製品が停止した、見慣れないプロセスが正規プロセスに化けている——こうした“不自然な静けさ”こそ、攻撃者がそこにいる何よりの証拠。防御回避は、見方を変えれば「攻撃者が必死に隠したがっている＝重要な局面にいる」というサインでもあるのです。

防御回避（Defense Evasion）は、攻撃者が検知を逃れ、防御の目をかいくぐるための戦術です。ATT&CKの14戦術のなかでも最も多くの技術を抱える戦術で、それだけ攻撃者が「見つからないこと」に心血を注いでいる証拠でもあります。手口は多彩ですが、防御者の頭の中では3つのアプローチに整理すると見通しが良くなります。

① 隠すの代表が、第3回でも登場した難読化（T1027）です。コードをBase64でエンコードしたり、圧縮（パッキング）して中身を読めなくする。偽装（T1036）は、悪性ファイルに svchost.exe のような正規っぽい名前をつけたり、正規フォルダに置いて紛れ込ませる手口。さらに高度なのがプロセスインジェクション（T1055）で、正規のプロセスの内部に自分のコードを注入し、“正規プロセスの顔”で活動する——タスクマネージャーで見ても、一見ふつうのプロセスにしか見えません。

これらに共通する防御の発想は、第1回・第3回でも繰り返してきた「正規ツール・正規プロセスの“異常な使われ方”を見る」こと。そして、とりわけ防御側を悩ませる②消すと③無効化——攻撃者がこちらの“目”そのものを攻撃してくる手口について、次の章でじっくり向き合います。

侵入に成功した攻撃者が、早い段階で手をつけるのが「証拠隠滅」です。具体的には、Windowsのイベントログをまるごと消去（T1070.001）したり、ファイルのタイムスタンプを改ざん（タイムストンプ、T1070.006）して、いつ何が起きたかを分からなくします。さらに踏み込むと、防御機能そのものの無効化（T1562）——ウイルス対策やEDRを停止させ、ログ記録を止め、第3回で触れたAMSIやETW（イベント追跡）といった監視の仕組みを“目隠し”していきます。

ここで防御側が知っておくべき、痛快な逆説があります。「ログを消した」という事実自体が、消せない記録として残るのです。Windowsでは、セキュリティイベントログがクリアされると、その瞬間にイベントID 1102が記録されます。攻撃者がいくら証拠を消しても、「ここで誰かが証拠を消した」という足跡だけは残る。これは強力な検知ポイントです。Sigmaで書くと、こうなります。

▲ 正規の運用でセキュリティログを手動クリアすることは、まずありません。EID 1102 は“誰かが証拠を消そうとした”という、極めて優先度の高いアラートです。

つまり、防御回避への対抗策は「検知ルールを増やす」ことだけではないのです。それ以上に、ログの集中管理という“設計”で先回りすることが効きます。攻撃者が現場の証拠を消しても、本部にコピーがある。攻撃者が監視を止めても、「止まったこと」が分かる。こうして「消す・止める」が逆に攻撃者を浮かび上がらせる仕掛けを、あらかじめ作っておく——これが防御回避と戦う、最も賢いやり方です。

もうひとつ覚えておきたいのが、タイムスタンプ改ざん（タイムストンプ）への向き合い方です。攻撃者はファイルの作成・更新日時を偽装して、調査を攪乱しようとします。しかしWindowsのファイルシステム（NTFS）は、表向きの日時とは別にMFT（マスターファイルテーブル）の中にも日時情報を持っており、両者の食い違いが“改ざんの痕跡”として浮かび上がることがあります。攻撃者が消した・偽った——その不自然さを拾い上げるのが、フォレンジック・アーティファクト解析の真骨頂です。隠そうとするほど、矛盾は増えていきます。

認証情報アクセス（Credential Access）は、攻撃者がログイン情報——パスワード、ハッシュ値、認証チケット、セッショントークンなど——を盗み出す戦術です。なぜこれほど重要なのか。盗んだ認証情報は「正規の鍵」だからです。鍵を使って入る限り、システムから見れば“正規のログイン”にしか見えません。攻撃者は、怪しいマルウェアを使うより、奪った鍵で堂々と歩き回るほうが、はるかに見つかりにくいのです。代表的な手口を見ていきましょう。

このなかで“本丸”といえるのがLSASS（lsass.exe）からの窃取です。LSASSはWindowsが認証情報を一時的に保持するプロセスで、ここのメモリを読み取られると、ログイン中のユーザーのパスワードやハッシュがごっそり奪われかねません。だからこそ、防御側にとっても「LSASSへの不審なアクセスを監視する」ことが、認証情報窃取を捉える最重要ポイントになります。Sysmonのプロセスアクセスログ（イベントID 10）を使えば、これを検知できます。

▲ 「正規のセキュリティ製品でもないプロセスが、LSASSのメモリを読みに来た」——これは認証情報窃取の典型的な兆候です。Velociraptorで全端末を横断確認すれば、被害範囲もつかめます。

認証情報窃取には、Mimikatz（ミミカッツ）に代表される有名なツールが使われることが知られています。ただ、防御側にとって大切なのは、特定ツールの名前を追うことより——ツールは名前も見た目も変えられるからです——「LSASSへのアクセス」「短時間での大量のログイン失敗（パスワードスプレー、EID 4625の多発）」といった“振る舞い”で捉えることです。第1回から繰り返してきた「変えにくいTTPで見る」という原則は、認証情報アクセスでも揺るぎません。ツール名は移り変わっても、メモリを読む・鍵を試すという行為の本質は、そう簡単には変えられないからです。

攻撃者は、なぜ危険を冒してまで認証情報を盗むのか。それは、奪った鍵が次の攻撃すべての“燃料”になるからです。盗んだ認証情報は、主に3つの方向に使われます。より高い権限へ昇格する／組織内の他の端末へ横展開する（次回・第5回）／新たな勝手口として永続化する。とりわけ恐ろしいのが、ドメイン管理者の鍵を得た瞬間に開ける「横展開」の扉。1台の侵入が、組織全体へと燃え広がっていきます。

ここで、防御側がぜひ知っておきたい重要な事実があります。攻撃者は、必ずしも「平文パスワード」を必要としないということです。Pass-the-Hash（ハッシュ渡し）は、パスワードのハッシュ値さえあれば、平文を知らなくてもそのまま認証を通せる手口。同様にPass-the-Ticketは、盗んだKerberosチケットをそのまま使います。さらに、ログイン済みのセッションCookieやトークンを盗めば、多要素認証（MFA）を通過した“あとの状態”を乗っ取れるのです。

こうして“燃料”を手にした攻撃者は、いよいよ組織内を動き回り始めます。それが次回・第5回の「探索・横展開」です。今回守り切れれば、攻撃を1台で止められる。逆にここで鍵を奪われると、戦いの主導権は一気に攻撃者へ傾きます。だからこそ、認証情報の防御は“最後の砦”として全力を注ぐ価値があるのです。

防御回避と認証情報アクセスへの対抗策を、効果の大きい順に整理します。ポイントは2軸——「攻撃者に消されない検知の仕組みを作ること（防御回避対策）」と、「合鍵そのものを守り、奪われても使えなくすること（認証情報対策）」です。

そして、万一鍵を奪われた疑いがあるときは、ためらわず全端末の横断ハントで被害範囲を確認し、インシデント対応へ移行します。認証情報が漏れた場合は、該当アカウントのパスワード・チケットの一斉リセット（重大時はKRBTGTのリセットを含む）まで視野に入れるのが、再侵入を断つ定石です。DFIR完全ロードマップを索引に、必要な実践記事を行き来してください。

防御回避と認証情報アクセス——攻撃が静かに、しかし決定的に深まる2戦術を見てきました。勘所は2つ。「“消す・止める・隠す”という行為自体が痕跡になる」「認証情報は奪われる前提で、奪われても使えなくする」。そしてログは消される前に外へ逃がす。この設計思想が、攻撃者の山場をくじきます。用語とFAQで仕上げましょう。

📖 用語集

❓ よくある質問（FAQ）

🧭 次に読む