OnDemand: 4 months of access
Price: $7,270 USD
インシデントレスポンスとスレットハンティングを徹底的に取り扱うこのコースでは、APTのような国家が関与する敵対者や犯罪組織、ハクティビズムなど、企業ネットワーク内に侵入する様々な脅威を捕捉、特定、対抗、復旧させる高度なスキルを提供します。本コースは継続的に更新され、精鋭のレスポンダーやハンターが、現実世界の侵害行為を正確に検知、対抗、対応するためのインシデントレスポンスとスレットハンティングにおける戦術と手法をハンズオンにより提供します。
インストラクター: Chad Tilbury
9月末まで日本語字幕付きFOR508 OnDemandコースの特別オファーを実施しています。
次の3つの手順に従ってお申込み下さい。
- 日本語字幕付FOR508 OnDemandコースを申込ページから登録する
- 無料のGCFA GIAC認定試験には、チェックアウト時にディスカウントコード「JP-GCFA-0821」を入力します（チェックアウト時に登録ページのアドオンでGIAC試験を確認してください）
- 対象期間の2021年9月30日までにコース料金をお支払下さい
ADVANCED THREATS ARE IN YOUR NETWORK - IT'S TIME TO GO HUNTING!
「FOR508: Advanced Incident Response, Threat Hunting, and Digital Forensics」は、以下の項目を理解することに主眼が置かれています。
- いつ、どのように侵害が起きたのかを検知する
- 侵害されたシステムとその影響の広がりを特定する
- ダメージを測定し、どのデータが持ち去られたか、どのデータが改ざんされたかを特定する
- インシデントを封じ込め、修復する
- スレットインテリジェンスに関する主要なソースを開発する
- 攻撃者の知識を利用して他の侵害をハントダウンする
このコースでは、実際に起こったAPT攻撃によって侵害された組織をベースにした演習を用いて、ネットワークをターゲットとするAPTグループの戦略に対抗するために、SIFTワークステーション上の多くのツールを使用して、課題と解決策を導き出します。
侵入とスレットハンティングの演習では、最初の標的となった攻撃の発生場所と、攻撃者がそこからどのようにして複数のシステムに水平展開したかを特定します。これにより、重要なサイバースレットインテリジェンスを抽出して作成し、脅威の範囲を適切に特定して、将来の侵害を検知するのに役立てることができます。
標的型攻撃では、組織は最高のインシデントレスポンスチームが必要です。本コースでは、組織への侵入やデータ侵害に対して、検知、範囲特定、停止などの一連の対応ができる技術を提供します。
GATHER YOUR INCIDENT RESPONSE TEAM - IT'S TIME TO GO HUNTING
FOR508コーストピック
- インシデントレスポンスとデジタルフォレンジックを効果的に実行するための様々なオープンソースツールとSIFTワークステーションの高度な使用法
- 国家が関与する敵対者、組織犯罪、ハクティビストなどの高度な敵に対抗するためのハンティング・レスポンステクニック
- 侵害を迅速に特定するためのスレットハンティングテクニック
- 迅速なインシデントレスポンス分析と侵害評価手法
- インシデントレスポンスと侵入フォレンジックの手法
- リモート環境を含むエンタープライズインシデントレスポンスシステム分析
- Windowsライブインシデントレスポンスとトリアージデータのスケーリングコレクション
- PowerShellやWMIなどを含む「Living of the Land」攻撃の調査と対策
- インシデントレスポンス・スレットハンティング中のメモリ解析
- メモリ解析のスキルをEDRプラットフォームに移行する手法
- Windowsエンタープライズ認証情報の侵害と保護に関する詳細な手順
- ラテラルムーブメント（水平展開）の検知と分析手法
- 迅速かつ詳細なタイムラインの作成と分析
- スレットハンティングとインシデントレスポンスのためのボリュームシャドウコピーのエクスプロイテーション
- アンチフォレンジックと隠蔽手法の検知
- 未知のマルウェアの発見手法
- スレットインテリジェンスの開発、侵害の指標、およびその使用方法
- サイバーキルチェーン戦略
- 侵害事例に調査・対応するための段階的な戦術と手順
Laptop Requirements
このコースでは、適切に構成されたシステムが必要です。 以下の記載は最小の必須要件です。 これらの要件を満たさない場合は、演習をうまく実行できない可能性があります。指定されたすべての要件を満たすシステムを使用することを強くお勧めします。
また、受講前にシステムのバックアップを取っておくことをお勧めします。 演習のためのツール類をインストールすることによって、一部のシステムの動作に支障をきたす可能性があります。いずれの場合もSANSではデータの破損や読み書きに関して責任をとることはできませんので、重要なデータが格納されているPCでの演習はお控えください。
MANDATORY FOR508 SYSTEM HARDWARE REQUIREMENTS:
- CPU：Intel i5/i7(第4世代以降) x64 2.0+ GHzプロセッサ以上（64bit必須）
- 利用するノートPCのホストOSおよび搭載されているCPUが64bitの動作をサポートしていることを確認してください。使用するゲストOSは64bit版のため、サポート外だと演習が一切行えません。VMwareはWindows、Linux用に、ご利用になるノートPCの環境が64bitのゲストOSを動作させることができるかどうか確認するフリーツールを提供しています。また、こちらのページで、CPUとOSが64bitをサポートしているか確認する方法が説明されていますので参考にしてください。Macユーザーの方は、サポートページをご確認ください。
- 「Intel-VT」などの仮想化テクノロジーが利用できるようBIOS設定が変更できること
変更が必要な場合に備えて、パスワードで保護されているBIOSにアクセスできることを必ず確認してください。
- RAM：16GB以上（16GB以上のRAMが必須最小）
- USB：3.0ポート必須（Type Cの場合は、Type Aへの変換アダプタも必要です） 一部のエンドポイント保護ソフトウェアは、USBデバイスの使用を妨げます。受講前にUSBドライブでシステムをテストして、コースデータをロードできることを確認してください。
- HDD/SSD：300GB以上の空き容量 エビデンスファイルのダウンロードに150GB程度利用します。これらのデータは外付けディスクに保存することも可能です。
- ローカルアドミニストレーター権限 – 絶対的に必要です！
MANDATORY FOR508 HOST OPERATING SYSTEM REQUIREMENTS:
- ホストOS：Windows 10 Pro以上、Mac OS 10.15以上で、VMware(VMware Workstation 15.5、VMware Fusion 11.5またはVMware Player 15.5）をインストールして実行できること
- 注：M1プロセッサのMacは、現時点では必要な仮想化を行うことができないため、このコースには使用できません。
- すべてのパッチを適用し、ドライバ等も最新の状態で、最新のUSB3.0が利用できること
受講前に以下のソフトウェアをインストールしておいてください:
- 事前にVMware製品をダウンロードしてインストールしてください。VMware Workstation 15.5、VMware Fusion 11.5、VMware Workstation Player 15.5以降のバージョンを選択します。VMware Workstation、VMware Fusionのライセンスを持っていなくても、30日間はフリートライアル期間として利用することができます。VMwareウェブサイトに登録すれば、期限付きのシリアルナンバーが送られてきます。
- ホストOSに7Zip（Windows OS）、Keka（Mac OS）をインストールしておいてください。
その他ラップトップの設定要件について質問がある場合は、laptop_prep@sans.orgにお問い合わせください。
Who Should Attend
- インシデントレスポンスチームの一員で、APT組織や先進的な攻撃者からの複雑なインシデントや侵入被害に対応するため、検知、調査、侵害されたシステムの修復・復旧する一連の方法を知る必要がある方
- 脅威をより効果的に探索したり、攻撃に対処するためのスキルをより深く学びたいスレットハンター
- アラートに関する理解を深め、イベントのトリアージに必要なスキルを構築し、EDR機能を十分に活用しようとしているSOCアナリスト
- デジタルフォレンジックアナリストの経験者で、ファイルシステムやメモリのフォレンジック、タイムライン解析、インシデントレスポンス戦術、APT攻撃に特化した高度な侵入調査などの理解を深め、対応能力を身につけたい方
- データ侵害や侵入のインシデントに対応する情報セキュリティ担当者
- 政府機関や法執行機関などにおいて捜査等に従事しており、先進的な侵入の調査やインシデントレスポンスをマスターして、従来のホストベースのフォレンジックよりも高度な捜査能力を身につけたい方
- レッドチームメンバー、ペネトレーションテスター、エクスプロイト開発者で、行動がシステムによって検知される原理や事例がどのようなものかを知り、それらを回避する方法を理解したい方。本コースには、エクスプロイトの実施や実施後の操作手順と関連して、リモートシステムのフォレンジックとデータ収集技術も含まれています。
- FOR500とSEC504を既に受講済みで、更なる技術力の向上を望む方
What You Will Receive
- SIFTワークステーション
- このコースでは、SIFTワークステーションを広範囲に使用して、インシデントレスポンダーとフォレンジックアナリストに高度な攻撃への対応と調査の方法を教えます。
- SIFTワークステーションには、何百もの無料のオープンソースツールが含まれており、最新のフォレンジック・インシデントレスポンスの商用対応ツールスイートと簡単にマッチングできます。
- 仮想マシンは、実践的なクラスの演習の多用します。
- Ubuntu Linux LTSベース
- 64ビットベースシステム
- メモリ使用率の向上
- 自動DFIRパッケージの更新とカスタマイズ
- 最新のフォレンジックツールとテクニック
- フォレンジックに取り組む準備ができているVMwareアプライアンス
- LinuxとWindows間の互換性
- ファイルシステムサポートの拡張（NTFS、HFS、EXFATなど）。
- F-Response Enterprise（エンドポイントコレクション機能）
- インシデントレスポンダーがリモートシステムとリモートコンピューターの物理メモリにネットワーク経由でアクセスできるようにします。
- インシデントレスポンスまたはフォレンジックツールに、組織全体で使用できる機能を提供します。
- 侵入調査やデータ侵害のインシデント対応状況に最適です。
- リモートシステムへの展開可能なエージェント
- SIFTワークステーション互換
- ベンダー中立 - ほぼすべてのツールで動作します。
- 同時検査数 = 無制限
- 同時に展開されるエージェントの数 = 無制限
- 6か月のライセンスにより、F-Response Enterpriseは、職場/自宅の環境で引き続き使用できます。
- 以下を含む電子ダウンロードパッケージ
- APTの事例イメージ、メモリキャプチャ、SIFT Workstation 3、ツール、ドキュメント
- SANS DFIR APT事例のデータ版演習ワークブック
- 演習教材は250ページ以上あり、詳しいインシデント対応手順と例が記載されています。
- ツールの使用を支援するためのSANS DFIRチートシート
FOR508 Incident Response and Threat Hunting Training Will Prepare Your Team To:
- さまざまな攻撃者を効果的に捜し出し、検出し、封じ込め、インシデントを修正するために必要なツール、テクニック、および手順を習得し習得します。
- 組織環境内の複数のWindowsシステムにわたって、メモリ内に潜む未知、活動中、休止中のカスタムマルウェアを検出し、追跡します。
- PowerShellやF-Response EnterpriseとSIFT Workstationを使用して、何百ものシステムに対して同時にインシデントレスポンスを実行します。
- メモリフォレンジック、レジストリ解析や、残されたネットワーク接続を介して、コマンドアンドコントロール（C2）チャネルに送信されるマルウェアビーコンを特定し、追跡します。
- 手がかりと最初の攻撃メカニズムを特定して侵害がどのように発生したかを特定します。
- PowerShellやWMIの悪意ある使用方法を利用した「living of the land」テクニックを特定します。
- ネットワーク内で攻撃者の隠れ場所を維持するために行われる、ユーティリティウェアとともにタイムスタンプを隠蔽したマルウェアを用いた高度なアンチフォレンジック技術を突き止めます。
- SIFT Workstationのメモリ解析、インシデントレスポンス、脅威探索ツールを使用して、隠蔽プロセス、マルウェア、攻撃者のコマンドライン、ルートキット、ネットワーク接続などを検出します。
- 詳細なタイムライン解析とスーパータイムライン解析によって、解析しているシステム上のユーザと攻撃者の活動を秒単位で追跡します。
- ボリュームシャドウコピーと復元ポイントの解析により、アンチフォレンジック技術を使用して消去されたデータを回復します。
- エンドポイント間での水平方向の動きとピボットを特定し、攻撃者が検出されずにシステムからシステムへと移行する様子を示します。
- ロックされた環境でも、攻撃者がドメイン管理者権限を含む正当な認証情報を取得する方法を理解します。
- 攻撃者が重要なデータを収集し、それらを外部収集ポイントに移動したときのデータの動きを追跡します。
- 組織のネットワークから機密データを窃取するためにAPT攻撃者によって使用されるアーカイブおよび.rarファイルを収集・解析します。
- 収集したデータを使用して、組織全体にわたって効果的な修復を実行します。
Hands-on Advanced Persistent Threat Enterprise Incident Response and Threat Hunting Lab
スレットハンティング・インシデントレスポンスコミュニティで耳にする最大の不満の１つは、ほとんどの実際の侵入データは機密性が高すぎて共有できないといった、現実的な侵入データの欠如です。
FOR508のコース開発者は、APT攻撃に日常的に対抗するレスポンダーたちの経験に基づいて、現実的なシナリオを作成しました。彼らは、シナリオを作成するために使用された標的型攻撃「スクリプト」のレビューとガイドを支援しました。その結果、複数のエンタープライズシステムにわたる非常に豊富で現実的な攻撃シナリオが実現しました。このAPT攻撃ラボは、1週間のトレーニングの基礎となります。ネットワークは、標準のコンプライアンスチェックリストを使用して、標準の「保護された」エンタープライズネットワークを模倣するように設定されました。
- 連邦情報セキュリティ管理法ガイドラインに従って完全な監査が有効
- Windowsドメインコントローラー（DC）のセットアップと構成：DCは、実際のエンタープライズネットワークで見られるものと同様に堅ろう化
- Office、Adobe、Skype、Tweetdeck、Email、Dropbox、Firefox、Chromeなど、実際のソフトウェアがインストール・利用されているシステム
- 完全にパッチが当たったシステム（パッチは自動的にインストール）EDRエージェン
- 国防総省のホストベースのセキュリティシステムに基づくエンタープライズA/Vとオンスキャン機能
- エンドポイントプロテクションソフトウェア - アンチウィルス、アンチスパイウェア、セーフサーフィン、アンチスパム、デバイス制御、オンサイト管理、ホストベースの侵入防止システム（HIPS）
- ファイアウォールは、受信ポート25と送信ポート25、80、443のみを許可
この演習とチャレンジは、ホストシステム、システムメモリ、休止状態/ページファイルなどにまたがり、実際の敵をトレースします。
- Phase 1 - 被害ゼロの侵害とマルウェアC2ビーコンのインストール
- Phase 2 - 権限昇格、他のシステムへの水平移動、マルウェアユーティリティのダウンロード、追加のビーコンのインストール、ドメイン管理者の認証情報の取得
- Phase 3 - 知的財産の検索、ネットワークのプロファイル、電子メールのダンプ、エンタープライズハッシュのダンプ
- Phase 4 - データを収集と抽出、ステージングシステムへのコピー、 .rarと複雑なパスフレーズを使用したデータのアーカイブ
- Phase 5 - ステージングサーバから.rarファイルを抽出し、サーバのクリーンアップを実行
Course Syllabus
FOR508.1: Advanced Incident Response & Threat HuntingOverviewあなたを標的にしている攻撃者に対して利点を得る方法があります。それは、正しい考えや何が効果的であるかを知ることから始まります。 インシデントレスポンダーは最新のツールを活用して、組織内のスキャン技術やメモリ解析技術などを駆使しながら侵害を検知し、敵を追跡して封じ込め、発生したインシデントを修復しなければなりません。そのため、インシデントレスポンスとフォレンジックのアナリストは、調査の範囲を通常の単一システムから1,000もしくはそれ以上に拡大しなければなりません。何千ものシステムを徘徊するAPT攻撃集団や犯罪組織による標的型攻撃を追跡するため、組織内スキャンは今や必須要件になっています。これは、フォレンジック調査の手順でも一般的に言われている「ハードドライブを抜く」ということでは分からない情報を引き出すものですが、敵に検知された事実が伝わり、すぐに機密情報を盗まれ脱出されてしまいます。 このコースではF-Response Enterprise Editionの6ヶ月ライセンスを受け取り、ワークステーションまたはSIFTワークステーションを使用して数百または数千のシステムに接続してスクリプトを実行することができます。この機能は、新しいインシデントレスポンス技術のベンチマーク、利用促進、実証に使用されます。これにより、レスポンダーは組織全体のネットワークの侵害指標を探すことができます。 Exercises
Topics
|
FOR508.2: Intrusion AnalysisOverview攻撃者はいたるところに痕跡を残します。最高のハンターの秘密を学んでください。 サイバーディフェンダーには、ネットワーク内の敵の活動を特定、捜索、追跡するための様々なツール類が用意されています。各攻撃者の行動は対応するアーティファクトとして証跡（フットプリント）が残されており、予測可能な攻撃パターンに対して調査を集中することが各チームメンバーに求められます。一例として、ある時点で、攻撃者はその目的を達成するためにコードを実行する必要があります。このアクティビティは、アプリケーション実行アーティファクトによって識別できます。攻撃者はコードを実行するために1つまたは複数のアカウントも必要となります。したがって、アカウントの監査は悪意のある操作を識別する強力な手段となります。さらに、攻撃者はネットワーク全体に移動する手段も必要とするため、それによって残される証跡を探すテクニックにも触れます。このセクションでは、一般的な攻撃者のスパイ活動の技術について説明し、組織内の悪意のあるアクティビティを識別するために使用できる様々なデータソースとフォレンジックツールについて解説します。 Exercises
Topics
|
FOR508.3: Memory Forensics in Incident Response & Threat HuntingOverview侵入している間にメモリ解析を行うと、不正行為が行われているように感じることがあります。アクティブなマルウェアを見つけることは簡単なことではありません。 高度な攻撃を検知することは多くのインシデントレスポンスチームにとって最大の関心事です。メモリフォレンジックは、わずか数年の間に格段の進歩を遂げ、APT攻撃グループが使用するワーム、ルートキット、PowerShell、高度なマルウェアの検知率も高くなってきています。この分野は、長らくWindows内部に精通したエキスパートたちの独壇場でしたが、現在では最新のツールによる優れたインタフェースとドキュメント、そして組み込みのヒューリスティックエンジンが改善され、誰でも実行できるように活用の場が広がりました。このセクションでは、最新のフリーツールを紹介し、メモリフォレンジック分野の基礎を固めます。加えて、インシデントレスポンスとフォレンジックの武器となる先進的な技術を身につけ、コアスキルを構築します。 Exercises
Topics
|
FOR508.4: Timeline AnalysisOverview
タイムライン解析は、デジタルフォレンジック、スレットハンティング、インシデントレスポンスなどへの対応方法に変革をもたらします。 タイムライン解析を知れば、今までのデジタルフォレンジックとインシデントレスポンスのやり方が劇的に変わるでしょう。スパイ活動に対するタイムライン解析の先駆者から直接学ぶことで、その高度な解析技術を知ることができます。テンポラリのデータは、コンピュータシステムのありとあらゆる所に存在しています。ログファイル、ネットワークデータ、レジストリ、インターネット履歴ファイルなども、そのような一時ファイルの一例です。ファイルシステムにはMACタイム（モディファイ／アクセス／クリエイト）がその全てのデータに記録されており、それらを相関分析することで侵害の究明に一歩近づくことができます。2001年にRob Leeがこの分析手法を開拓して以来、タイムライン解析は複雑な事案を解決する強力な調査手法として使用されてきました。新しいタイムライン解析のフレームワークでは、いくつもの時間ベースの解析を同時に処理することができます。これにより解析に費やす時間が1日から数分に短縮することができ、強力な調査手法としての立場を不動のものとしています。 このセクションでは、複雑なインシデントとフォレンジック事例においてタイムラインを作成し、それぞれ解析する2つの手法について順に見ていきます。演習では、タイムラインの作成方法だけでなく、受講者が実際に経験した事例などを題材として、より効果的な分析につなげるための方法を紹介します。 Topics
|
FOR508.5: Incident Response & Hunting Across the Enterprise | Advanced Adversary & Anti-Forensics DetectionOverview先進的な攻撃は優れていますが、私たちはその上に立つ必要があります。 優秀な敵に対して、私たちは彼らを上回る能力を身に付けなければなりません。 長年にわたり、多くのインシデントレスポンダーは侵害の痕跡に関する指標（IOC）を使用せず、効率的ではない方法でマルウェアを検知しようとしていました。一方で敵であるインテリジェンスたちは、システムを侵害するために結束を強めています。この傾向はAPTグループの攻撃では特に顕著です。 本セクションでは、ファーストレスポンダーに必要なテクニックである、マルウェアの検知やシステムに隠れているどんな小さな情報でもフォレンジックの証拠として抽出するテクニックについてデモンストレーションを行います。その後、システムに隠れ込もうとする悪意あるマルウェアを見逃している可能性がないか、デモンストレーションしたテクニックについて議論していきます。 Exercises
Topics
|
FOR508.6: The APT Threat Group Incident Response ChallengeOverviewAPTのような攻撃のシミュレーションを行い、本コースで学んだデジタルフォレンジック、ネットワークフォレンジックなどの知識を総動員して学習成果を確認します。シミュレーション環境では、複数のWindowsで構成される組織環境を模したシステムが侵害されているという状況が付与されます。受講生は、最初にどのようにシステムが侵害されたかを検出し、続いて他のシステムへ侵入した形跡を見つけ、最終的にデータ抽出によって知的財産が盗まれたことを証明するという、実践形式の訓練を通じて、その能力を確認します。このシナリオは、実際に国家が関与する侵害事案や金融犯罪組織、ハクティビストグループに至るまでの高度な脅威との戦いに数十年の経験を持つインストラクター陣によってまとめられたものです。 Topics
識別とスコープ 1. APTグループはいつ、どのようにしてネットワークを侵害したか 2. 侵入された全システムのIPアドレスと侵入特有の痕跡を一覧化 3. 攻撃者はいつ、どのようにして最初の水平方向の動きを各システムに対して行ったか 封じ込めとスレットインテリジェンスの収集 4. 攻撃者はいつ、どのようにしてドメイン管理者の資格情報を入手したか 5. 侵入後、攻撃者は各システムで何を探したか 6. エグゼクティブアカウントに紐付く電子メールから受けた損害の評価 7. 盗まれたものの特定: 抽出された.rarファイルまたはその他のアーカイブを復元し、暗号化パスワードを見つけ、内容を抽出して抽出データを検証する。 8. 攻撃に使用されたすべてのマルウェアを収集して一覧化 9. 攻撃者のトレードクラフトを表すホストベース・ネットワークベースの侵害指標とセキュリティインテリジェンスを開発して提示 修復と復旧 10. どのレベルのアカウント侵害が発生したかの判断。修復中にフルパスワードリセットが必要か 11. インシデント中に発見された攻撃者のテクニックとツールに基づくインシデントの修復と復旧に向けた推奨手順は何か
|