{% endstep %}
{% endstepper %}
***
## 代表的な利用場面
このパターンは、既知の LOTL バイナリにだけ**対象を絞った正当化コントロール**をかけるものです。エンドポイント特権マネージャーでは、単に監査ログへ記録するだけより強く、いきなり全面ブロックや承認ワークフローほど重くない、中間の強さの制御として位置づけられます。主な利用場面とその背景を以下に整理します。
### 基本的な考え方: 「二面性のあるツールへの説明責任の摩擦」
**Living Off the Land バイナリは正当なシステムツール**です。スクリプトエンジン、コマンドラインインタープリター、管理ユーティリティなどはOSに同梱されており、攻撃者にも悪用されやすい一方で、セキュリティ製品からも信頼されがちです。課題は、これらのツールに正当な業務利用がしばしばあることです。**正当化ポリシー**は、この相反する要求のあいだを埋めます。正当な利用はブロックせず、匿名の利用はなくします。すべての実行は記録に残り、特定のユーザーに帰属し、入力された理由が残ります。インサイダー脅威と侵害されたアカウントの両方にとって、検出されず疑問も持たれない実行に依存するリスク計算を変えます。
### 主な利用場面
**1. 二面性のある管理ツールの監査**
たとえば `wscript.exe`、`mshta.exe`、`rundll32.exe`、`certutil.exe`、`regsvr32.exe` などは標準の Windows 構成要素でありながら、脅威アクターの戦術のかなりの割合に現れます。これらのバイナリに正当化ポリシーを適用すると、各利用が特定のユーザーに帰属し、記録された業務上の理由付きで包括的な監査記録が得られ、それらに依存するITや開発のワークフローを乱しません。
**2. エスカレーション前の行動ベースライン化**
LOTL バイナリに**拒否**や**承認**を課す前に、組織は実世界での利用量と性質を把握する必要があります。**適用**で展開した正当化ポリシーは、これを自然にデータ化します。正当な理由の提出そのものが、誰がどのくらいの頻度で、どのような目的で、どのマシンからツールを使うかを示します。この情報が、コントロールを厳しくするか緩めるか、維持するかの判断に直結します。
**3. コンプライアンスおよび監査証跡**
多くのコンプライアンス枠組み (NIST 800-171、CMMC、CIS Controls) では、高リスクのシステムツールへのアクセスが監視され帰属付けられることの証拠が求められます。正当化ポリシーは、対象バイナリの各実行についてタイムスタンプ付きでユーザーに帰属した監査記録を残し、完全な承認ワークフローなしに文書化と説明責任の要件を満たします。
**4. インサイダー脅威の抑止**
書面の正当な理由を求めること自体が抑止になります。強力なシステムツールを軽率または機会主義的に悪用しようとするユーザーは、行動が身元と必須の説明付きでログに残ることを知ると、そうしにくくなります。摩擦は手続き上だけでなく心理的でもあり、組織が注意を払っているというシグナルになります。
**5. 脅威インテリジェンスに対する段階的対応**
脅威インテリジェンスが、自社の業界や技術スタックを狙うキャンペーンで特定の LOTL バイナリが積極的に悪用されていると示したとき、正当化ポリシーを即座に展開すれば、低い運用リスクで迅速な第一対応になります。正当なアクティブ利用があるツールをいきなりブロックする運用リスクなしに、可視性と説明責任を同時に得られ、承認や拒否へのエスカレーションが妥当か評価できます。
**6. ポリシー成熟の移行期のコントロール**
エンドポイント特権マネージャーの姿勢を成熟させる過程では、正当化ポリシーが中間の段階として機能します。以前は無制御だったバイナリは、まず正当化付きの運用に移し、データとユーザー意識を得てから、すべての利用に人間の承認が必要なツールでは**承認**へ、正当な用途が残らないツールでは**拒否**へと進められます。この段階的な進め方は、ハードブロックへの移行が速すぎることによる組織リスクを下げます。
***
### ファイルアクセスポリシーとする理由 (特権昇格ポリシーではない理由)
細かいが重要な違いです。**ファイルアクセスポリシー**は、ファイルの**実行** (プロセスが起動した瞬間) をポリシー評価でインターセプトします。**特権昇格**ポリシーは、昇格した権限で何かを実行しようとしたときにだけインターセプトします。LOTL バイナリは、しばしば昇格なしの標準ユーザー権限で起動されるからこそ特に危険です。ここではファイルアクセスを使うことで、ユーザーがどの権限レベルで動いていても**あらゆる起動試行**に正当化コントロールがかかり、対象プロセスを完全にカバーします。
#### ベースラインを土台としたレイヤー型のポリシー戦略
LOTL 正当化をベースラインとする構成が整ったら、その周りに制御された例外扱いとエスカレーションのモデルを重ねられます。
優先度の高い許可ポリシーに一致したユーザーは、そのまま通過します。承認ポリシーに一致したユーザーは、人間の承認者による確認のあと続行します。残りのユーザーはすべて、続行する前に正当な理由の入力が必要です。
***
### 運用上の重要な考慮事項
このポリシーは**正当な理由が必要なコントロール**と通知の必須確認を使うため、対象プロセスを起動するたびに影響を受けるユーザーはプロンプトで中断されます。まず**監視**で正しいアプリケーション識別子が対象か、実行頻度を測ってから**適用**に切り替えることを強く推奨します。特に正当な利用が多く、規模でかなりのプロンプト量になり得るバイナリではなおさらです。
---
# Agent Instructions: Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter:
```
GET https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/policies/policy-examples/policy-living-off-the-land-file-access-justification.md?ask=
```
The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.