サイバーセキュリティにおいて、「Living off the land (LOTL)」という用語は、攻撃者がターゲットの環境内にすでに存在する正当なツールやソフトウェアを使用して悪意のあるアクティビティを実行することを指します。このアプローチにより、攻撃者はエンドポイント セキュリティ ソリューションによってフラグが付けられる可能性のある新しい疑わしいファイルを持ち込む代わりに、信頼できるアプリケーションを使用して検出を回避できます。
* 定義と使用状況コンテキスト「Living off the land」とは、通常、管理目的または正当な目的でインストールされるツール、ユーティリティ、およびスクリプト環境を活用する方法です。攻撃者は、可視性を最小限に抑え、外部または悪意のある実行可能ファイルの認識に依存するエンドポイント検出メカニズムのトリガーを回避するために、このアプローチを好みます。PowerShell、Windows Management Instrumentation (WMI)、およびコマンドライン ユーティリティ (例: cmd.exe) などのツールは、この戦略を使用する攻撃者によく使用されます。
* エンドポイント セキュリティの完全な実装における戦術エンドポイント セキュリティの完全な実装フレームワークでは、エンドポイント ソリューションが標準管理ツールの正当な使用と誤用を監視して区別する必要があるコンテキストで、LOTL が特に認識されています。このアプローチは、エンドポイント セキュリティ実装の検出および防止フェーズで文書化されることが多く、コマンドライン アクティビティの監視、PowerShell の使用の監査、およびこれらのツールに関連する異常な動作の特定に特に重点が置かれています。
* 影響と軽減LOTL は、セキュリティ ソリューションが既存のツールの正当な使用と悪意のある使用を区別する必要があるため、検出作業を複雑にする可能性があります。Symantec Endpoint Security Complete は、動作ベースの分析、異常検出、機械学習モデルを使用して、新しいファイルが導入されていない場合でも異常なパターンにフラグを立てることで、これに対処します。
* SES Complete ドキュメントの関連リファレンスSymantec Endpoint Security Complete 内での LOTL 戦術への対処に関する詳細なガイダンスは、脅威ハンティングと動作分析に関するドキュメントのセクションによく記載されています。これらのリソースでは、ネイティブ OS ツール内の疑わしい使用パターンにフラグを立て、テレメトリ データと既知の侵害指標 (IoC) を活用して早期検出を行うようにプラットフォームがどのように設計されているかを概説しています。

Symantec Communities プラットフォームは、専門家、エキスパート、愛好家が議論、協力、知識の共有を行えるようにアクセスを提供します。このプラットフォームでは、ユーザーはサイバーセキュリティ分野の他のユーザーとつながり、Symantec 製品に関する洞察、ベスト プラクティス、ソリューションを交換できます。このプラットフォームは、ユーザーが支援を受け、経験を共有し、最新の開発状況を把握できる共同作業環境を促進します。
Symantec Endpoint Security ドキュメントでは、トラブルシューティング、ネットワーキング、サイバーセキュリティのトピックと Symantec ツールに関する知識の拡大に役立つ共同フォーラムとしての Symantec コミュニティについて説明しています。

実装フェーズで SES Complete ベース アーキテクチャを実装した後、次の重要なステップはエンドポイントの登録と配布です。このステップでは、エンドポイント デバイスをセキュリティ環境に登録し、必要なセキュリティ エージェントをデバイス全体に配布します。適切な登録と配布により、エンドポイントが登録され、ポリシーが適用され、SES Complete ソリューションによる保護が開始されます。
SES 完全実装カリキュラムでは、エンドポイントを管理下に置き、完全なポリシー適用と脅威保護機能を有効にするために、基本アーキテクチャのセットアップに従う構造化されたプロセスとしてこれを説明しています。

Symantec Endpoint Protection Manager (SEPM) 実装では、ファイアウォールおよび侵入防止システム (IPS) 内でホスト グループを使用できます。ホスト グループを使用すると、管理者はファイアウォールおよび IPS ポリシーで参照できる IP アドレスまたはドメインのセットを定義できるため、指定されたホストまたはネットワーク全体に一貫したセキュリティ制御を適用しやすくなります。
Symantec Endpoint Protection ドキュメントでは、ホスト グループの使用法を指定してポリシー管理を効率化し、SEPM のファイアウォールおよび IPS 構成内でネットワーク セキュリティ対策のためのルールを効率的かつ組織的に適用できるようにします。

Endpoint Security Complete 実装では、セキュリティ アナリスト ロールには通常、ポリシー作成やデバイス グループ管理などの管理機能ではなく、セキュリティ脅威の監視、調査、対応に重点を置いた権限が与えられます。オプション C がベスト プラクティスと一致する理由を次に示します。
* エンドポイントの検索: セキュリティ アナリストは、セキュリティ警告や異常の調査を担当することがよくあります。
これをサポートするには、通常、潜在的な脅威の影響を受ける特定のデバイスを見つけるためにエンドポイント検索機能にアクセスする必要があります。
* トリガー ダンプ: エンドポイントでメモリまたはシステム ダンプをトリガーすることは、詳細なフォレンジック分析に不可欠です。これにより、アナリストはセキュリティ インシデント発生中または発生後にシステムの状態のスナップショットをキャプチャし、包括的な調査を行うことができます。
* ファイルの取得と隔離: セキュリティ アナリストは、疑わしい、または悪意があると判断されたファイルを隔離または隔離する権限を与えられることがよくあります。このアクションは、潜在的な脅威を封じ込め、ネットワーク内でのマルウェアやその他の有害なアクティビティの拡散を防ぐのに役立ちます。この権限は、脅威をできるだけ早く軽減するというセキュリティ アナリストの役割と一致しています。
他の選択肢の可能性が低い理由の説明:
* オプション A (ポリシーの作成): ポリシーを作成するには、通常、セキュリティ アナリストではなく、セキュリティ管理者やエンドポイント マネージャーに割り当てられるような、より高い管理権限が必要です。
アナリストは、ポリシーの設計よりも、脅威の検出と対応に主に焦点を当てます。
* オプション B (新しいサイトの登録): 新しいサイトの登録は通常、インフラストラクチャのセットアップと拡張に関連する管理タスクであり、セキュリティ アナリストの責任範囲外です。
* オプション D (デバイス グループの作成): デバイス グループの作成と管理は、エンドポイント管理システムの組織構造の構成を伴うため、通常はシステム管理者またはエンドポイント管理者の役割の範囲内です。
要約すると、オプション C は、脅威の調査と対応に重点を置くセキュリティ アナリストの中心的な責任と一致します。その権限は、管理構成やセットアップ タスクにまで及ぶことなく、これらの目的を直接サポートするアクションに重点を置いています。