ファイルレスマルウェア

ファイルレスマルウェアとは、従来のマルウェアのようにディスク上に実行ファイル（exeファイルなど）を保存せず、コンピュータのメモリ上で直接動作する攻撃手法のことです。感染後にファイルが残らないため、従来のウイルス対策ソフトやファイルスキャン型の検知ツールでは発見が極めて困難であり、巧妙な脅威として近年注目を集めています。正規の管理ツールを悪用して悪意のある操作を行うのが典型的な手口です。

仕組みとしては、標的の環境に既にあるWindows PowerShellやWMI（Windows Management Instrumentation）といった正規の管理ツールを悪用します。攻撃者はスクリプトを実行し、メモリ上に直接悪意のあるコードを読み込ませて実行させます。ディスクへの書き込みを行わないため、ログやファイルとして痕跡が残りにくく、攻撃の特定が困難になります。このため、一度侵入されると、長期間にわたってシステム内部に留まり続け、情報を盗み出したり、攻撃の足がかりにされたりするリスクがあります。

試験では、エンドポイントセキュリティの重要性と振る舞い検知の観点から問われます。従来のファイル名やシグネチャ（定義ファイル）に基づく検知では防げないため、不審なプロセス動作やスクリプトの実行を監視する振る舞い検知（EDR: Endpoint Detection and Response）の必要性が強調されます。また、管理者権限の適切な制限や、スクリプト実行ポリシーの強化が有効な対策としてセットで問われます。