# Czym jest living off the land (LOTL)?

> Living off the land (LOTL) to warsztat przeciwnika polegający na nadużywaniu legalnego oprogramowania, wbudowanych narzędzi systemowych, funkcji administracyjnych, poświadczeń lub zaufanych usług do wykonywania złośliwych działań.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/living-off-the-land/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Ponieważ te same możliwości wspierają rutynowe operacje, aktywność LOTL może zlewać się z oczekiwanym zachowaniem i omijać kontrole skupione na nieznanych plikach binarnych. Termin opisuje, skąd czerpane są możliwości, a nie rodzinę złośliwego oprogramowania czy jedną konkretną technikę.

LOTL może wspierać rozpoznanie, wykonanie, utrwalenie, dostęp do poświadczeń, ruch boczny, zbieranie lub command and control. Możliwość może być wbudowana, dostarczana przez chmurę lub legalnym oprogramowaniem podwójnego zastosowania. Może sięgać po pliki lub towarzyszyć własnemu złośliwemu oprogramowaniu, więc LOTL nie oznacza braku artefaktów.

### Najważniejsze punkty

- **Kontekst jest centralny:** Sama nazwa narzędzia rzadko przesądza o zamiarze. Analitycy potrzebują tożsamości inicjującej, procesu rodzicielskiego, celu polecenia, celu, czasu, autoryzacji i oczekiwanego wzorca administracyjnego.
- **Podejście detekcyjne:** Łącz dowody procesów, tożsamości, wierszy poleceń, skryptów, sieci i audytu chmury; ustal bazę legalnej administracji; i badaj nietypowe sekwencje lub użycie z nieoczekiwanych kont i hostów.
- **Redukcja ekspozycji:** Ograniczaj narzędzia administracyjne i ścieżki zdalnego zarządzania do zdefiniowanych ról, stosuj kontrolę aplikacji tam, gdzie właściwe, chroń konta uprzywilejowane i zachowuj telemetrię potrzebną do rekonstrukcji aktywności.
- **Istotne ograniczenie:** Blokowanie każdego narzędzia podwójnego zastosowania może zakłócić legalne operacje i nadal pozostawić równoważne możliwości. Globalne dopuszczanie zaufanego lub podpisanego narzędzia też jest niebezpieczne; zaufanie do oprogramowania nie autoryzuje każdego jego użycia.

### Powiązane terminy

[Fileless malware](<https://yellowcube.eu/pl/glossary/fileless-malware/>) · [Złośliwe oprogramowanie](<https://yellowcube.eu/pl/glossary/malware/>) · [Ruch boczny](<https://yellowcube.eu/pl/glossary/lateral-movement/>) · [Command and control (C2)](<https://yellowcube.eu/pl/glossary/command-and-control/>) · [Bezpieczeństwo punktów końcowych](<https://yellowcube.eu/pl/glossary/endpoint-security/>)

### Źródła

[CISA and partners: Identifying and Mitigating Living Off the Land Techniques](https://www.cisa.gov/sites/default/files/2025-03/Joint-Guidance-Identifying-and-Mitigating-LOTL508.pdf) · [MITRE ATT&CK T1218: System Binary Proxy Execution](https://attack.mitre.org/techniques/T1218/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.