Trusted Design
Adversaries may selectively delete or modify artifacts generated to reduce indications of their presence and blend in with legitimate activity. Rather than broadly removing evidence, adversaries may target specific artifacts that appear anomalous or are likely to draw scrutiny, while leaving sufficient data intact to maintain the appearance of normal system behavior.
Artifacts such as command histories, log entries, or file metadata may be altered in ways that align with expected user or system activity. Location, format, and type of artifact (such as command or login history) are often platform-specific, allowing adversaries to tailor modifications that minimize suspicion.
These actions may not prevent detection entirely but can delay recognition of malicious activity or reduce the fidelity of alerts by making events appear benign or consistent with routine operations. Additionally, selectively removed or modified artifacts may still be recoverable through deeper forensic analysis, though their absence or alteration can complicate timeline reconstruction and attribution.
T1070「Indicator Removal on Host」（ホスト上のインジケーター削除）は、攻撃者が自身の活動の痕跡を消去し、検知を回避するために用いる非常に重要なテクニックです。
この手法の主な目的は「ステルスの維持（Defense Evasion）」です。 攻撃者はシステム内での不審な動き（ファイルの作成、コマンドの実行、認証の失敗など）を記録したログやファイルを削除または改ざんすることで、以下のことを実現します。
攻撃者は、目的を達成した直後、あるいは定期的なメンテナンスとして以下の手順（サブテクニック）を実行します。
wevtutil コマンドなどで一括削除する。.bash_history や、PowerShellの履歴ファイルを削除、または記録機能を無効化する。インジケーターの削除そのものを防ぐのは難しいため、「消される前に転送する」ことと「消したことを検知する」ことが鍵となります。
wevtutil cl（ログ消去）、rm -rf（一括削除）、Set-FileTime（タイムスタンプ変更）などの実行を監視し、アラートを上げる。T1070は攻撃手法（テクニック）であるため、ソフトウェアの脆弱性であるCWEとは「攻撃者が悪用する弱点」という関係性になります。
T1070を実行するために、攻撃者はしばしば特権昇格や認可バイパスの脆弱性を悪用します。多くの場合、特定のCVEを突くというよりは、「管理者権限を奪取した後に標準のシステムコマンドを使ってログを消す」という流れが一般的です。
この攻撃手法を利用する脅威アクターは登録されていません。
この攻撃手法に関連する CVE は登録されていません。