FORENSICS 508

Advanced Incident Response, Threat Hunting, and Digital Forensics

English

日程: 2023年9月11日(月)～9月16日(土)

期間: 6日間

講義時間: 1日目: 9:00-17:30
2日目~6日目: 9:30-17:30

受講スタイル: Live Online

会場: ◆LiveOnline形式
オンライン

GIAC認定資格: GCFA

講師: Chad Tilbury|チャド　ティルブリー
フェロー

言語: 英語　英語教材・同時通訳

定員: 40名

CPEポイント: 36 Points

受講料

【早割価格】1,080,000円（税込：1,188,000円）
※キャンペーン価格のため、他の割引の重複適用はできません。ご了承ください。

【通常価格】1,200,000円（税込：1,320,000円）

申込締切日: 【早割価格】2023年8月11日（金）
【通常価格】2023年9月1日（金）

オプション

GIAC試験 135,000円（税込：148,500円）
OnDemand 135,000円（税込：148,500円）
NetWars Continuous 235,000円（税込：258,500円）

※オプションの価格は、コース本体と同時にお申し込みいただく場合のみ有効です。

※コース本体のお申し込み後から講義開始までの間に、GIAC試験オプションを追加される場合は、事務手数料10,000円（税込11,000円）をいただきます。

※講義開始後のGIAC試験のお申込みは、こちらのページ（英語）をご参照のうえ、GIACへ直接お申し込みください。

現在お申し込みを受け付けておりません

受講に必要なPC環境

演習で使用するノートPCをご準備下さい。受講に必要なPC環境についてご確認ください。

FOR508 PC設定詳細

重要！次の手順に従って設定されたPCを持参してください。

SANSトレーニングを有意義に受講していただくには要件を満たすノートPCが必須です。次の要件を確認し、事前に必要な設定を完了しておいてください。講義中は設定をする時間はありません。必ず事前の確認・設定をお願いいたします。
講義の前にシステムのバックアップを行うようにしてください。また、機密データが保存されているシステムは使用しないようにしてください。お客様のデータの消失・破損などへの影響につきましては、弊社は一切の責任を負いません。

ノートパソコンのハードウェア要件

CPU： 64ビット Intel i5/i7（第8世代以降）、またはAMD同等品。このクラスでは、x64ビット、2.0GHz以上のプロセッサーが必須です。
重要： M1/M2プロセッサーを使用したApple社のシステムは、必要な仮想化機能を実行できないため、このコースに使用することは一切できません。
Intel-VTx」または「AMD-V」拡張機能など、仮想化技術を有効にするためのBIOS設定を行う必要があります。BIOSがパスワードで保護されている場合は、変更が必要な場合に備えて、BIOSにアクセスできることを絶対に確認してください。
16GB以上のRAMが必要です。
350GB以上のストレージの空き容量が必要です。
USB 3.0 Type-Aポートが1つ以上必要です。新しいノートパソコンでは、Type-C to Type-Aアダプターが必要な場合があります。エンドポイント保護ソフトウェアの中には、USBデバイスの使用を禁止しているものもありますので、授業前にUSBドライブでシステムをテストしてください。
ワイヤレスネットワーク（802.11規格）が必要です。教室では有線のインターネット接続はできません。

FOR508のホスト構成とソフトウェアの必須要件

ホストOSは、Windows 10、Windows 11、またはmacOS 10.15.x以降の最新版である必要があります。
授業前にホストOSを完全にアップデートし、正しいドライバとパッチがインストールされていることを確認してください。
Linuxホストは、多くのバリエーションがあるため、教室ではサポートされていません。Linuxをホストとして使用する場合、教材やVMと連動するように設定することは、各自の責任で行ってください。
ローカルアドミニストレーターアクセスが必要です。(はい、これは絶対に必要です。IT チームにそうでないと言われないようにしてください)。もし、あなたの会社がコース期間中、このアクセスを許可しない場合は、別のノートパソコンを持参するよう手配する必要があります。
ウイルス対策ソフトやエンドポイント保護ソフトが無効になっているか、完全に削除されているか、またはそのための管理者権限を持っていることを確認する必要があります。当社のコースの多くは、オペレーティングシステムへの完全な管理者権限を必要とするため、これらの製品によってラボの達成を妨げる可能性があります。
退出トラフィックのフィルタリングは、コースのラボを達成するのを妨げる可能性があります。ファイアウォールは無効にしておくか、無効化するための管理者権限が必要です。
VMware Workstation Pro 16.2.X+ または VMware Player 16.2.X+（Windows 10ホスト用）、VMware Workstation Pro 17.0.0+ または VMware Player 17.0.0+（Windows 11ホスト用）、VMWare Fusion Pro 12.2+ または VMware Fusion Player 11.5+ （macOSホスト用）をクラス開始前にダウンロードしてインストールします。VMware Workstation ProまたはVMware Fusion Proのライセンスをお持ちでない方は、VMwareから30日間の無料体験版をダウンロードすることができます。VMware社のウェブサイトからトライアルに登録すると、期間限定のシリアルナンバーが送られてきます。また、VMware Workstation Playerは、VMware Workstation Proよりも機能が少ないことに注意してください。Windowsのホストシステムを使用している場合は、よりシームレスな学生体験のために、Workstation Proをお勧めします。
Windowsホストでは、VMware製品はHyper-Vハイパーバイザーと共存できない場合があります。最良の体験をするためには、VMwareが仮想マシンを起動できることを確認してください。そのためには、Hyper-Vを無効にする必要がある場合があります。Hyper-V、Device Guard、およびCredential Guardを無効にする手順は、コース教材に付属するセットアップ文書に記載されています。
7-Zip（Windowsホスト用）またはKeka（macOSホスト用）をダウンロードし、インストールします。これらのツールは、ダウンロードしたコース教材にも含まれています。

LiveOnlineでのコースメディアの事前準備、テキストについて

コースのメディアがダウンロード版で配信されるようになりました。授業で使用するメディアファイルは大容量で、40～50GBのものもあります。ダウンロードに必要な時間は様々な要因に左右されるため、所要時間を見積もることはできませんが、非常に時間がかかってしまう場合もあります。メールよりダウンロードリンクを取得したら、コースメディアのダウンロードを開始してください。コースメディアは授業初日すぐに必要になります。開始前夜などにダウンロードを開始すると、失敗する可能性が高くなりますので、時間に余裕をもってご準備ください。

SANSでは、PDF形式のテキストの提供を開始しました。さらに、一部のクラスではPDFに加えて電子ブックを使用しています。電子ブックを使用するクラスは今後増えていく予定です。セカンドモニターやタブレット端末を使って、授業の資料を見られるようにしておくと便利です。

ノートパソコンの仕様についてご不明な点がございましたら、laptop_prep@sans.orgへご連絡ください。

FOR508 コース概要

脅威の探索とインシデントレスポンスの手法は、過去数年の間に急速に進化しています。侵入したシステムを適切に特定できず、侵入を効果的に阻止できず、迅速にインシデント対応できず、増殖するランサムウェアを阻止できないような時代遅れのインシデントレスポンスや脅威ハンティング手法を使用する余裕はありません。インシデントレスポンスと脅威ハンティングのチームは、侵入検知のために使用する正確な情報を取得するために、マルウェアの挙動や活動パターンを特定します。このコースでは、インシデントレスポンスと脅威ハンティングを徹底的に学び、対応者と脅威ハンティングチームが、APTの国家敵対者、組織犯罪シンジケート、ランサムウェアシンジケートなど、企業ネットワーク内のさまざまな脅威を追跡、特定、対処、回復するための高度なスキルを身に付けることができます。

このコースは、次の項目を理解することに主眼が置かれています。

攻撃者の技術を理解し、侵害の評価を行う
どのようにシステムが侵害されたか
どのシステムが侵入されたか
どのデータが持ち去られたか。どのデータが改ざんされたか
どのようにインシデントに対処し修正したらよいか
ネットワーク範囲を特定するために攻撃者の動向を把握し、脅威インテリジェンスを構築する。
攻撃者の知識を基に他の攻撃を探索する
アンチフォレンジックとデータ隠蔽に対抗する高度のフォレンジックスキルの習得

コースの演習と最後の課題では、エンドポイントのアーティファクト、イベントログ、システムメモリなどを介して発見された、次のような実際の攻撃者の痕跡を説明します。

フェーズ1：マルウェアC2ビーコンをインストールする。

フェーズ2：特権昇格、他システムへの横移動、マルウェアユーティリティのダウンロード、追加ビーコンのインストール、ドメイン管理者の資格情報の取得

フェーズ 3 - 知的財産の探索、ネットワークプロファイリング、ビジネス電子メールの侵害、エンタープライズハッシュのダンピング

フェーズ 4 - 流出ポイントの発見、データの収集、および窃盗のためのステージング

フェーズ5：ステージングサーバーからのファイルの流出、クリーンアップの実行、長期的な持続性メカニズムの設定

ビジネス上の留意点

攻撃者の技術を理解し、プロアクティブな侵害評価を行う。
新しい攻撃手法の理解、重要な攻撃経路の重視、利用可能なフォレンジック資料の知識により、検知能力をアップグレードする。
脅威インテリジェンスを開発し、標的となる敵の追跡と将来の侵入イベントへの備えを行う
アンチフォレンジックとデータ隠蔽に対抗するための高度なフォレンジックスキルを身につけ、社内外の調査で活用できるようにする

万が一、侵害が発生した場合、FOR508修了生は以下のスキルを身につけることができます。

攻撃がいつ、どのように発生したかを検出する
侵害されたシステムおよび感染したシステムの迅速な特定
損害評価を実施し、何が読まれ、盗まれ、変更されたかを判断する
インシデントを封じ込め、修復する
敵対者の知識を利用して、さらなる侵害を追跡する

本講座受講にあたっての前提
FOR508は、高度なインシデント・レスポンスとスレット・ハンティングのコースであり、高度に永続化している脅威や、組織化された攻撃グループの検出とその対応に焦点を当てています。このコースでは、インシデントレスポンスの基礎知識や、Windowsのフォレンジック技術、ハッカーのテクニックなどは取り扱いません。
このコースを受講する前に「FOR500：Windows Forensic Analysis」を受講しておくことをお勧めます。

受講対象者

インシデントレスポンスチームの一員で、APT組織や先進的なアタッカーからの複雑なインシデントや侵入被害に対応するため、検知および調査し、侵害されたシステムを修正し復旧する一連の方法を知る必要がある方
脅威をより効果的に探索したり、攻撃に対処するために、脅威をより深く学びたい脅威ハンター
アラートに関する理解を深め、イベントのトリアージに必要なスキルを構築し、EDR機能を十分に活用しようとしているSOCアナリスト
デジタルフォレンジックアナリストの経験者で、メモリとタイムラインのフォレンジック、技術的に高度な人物の調査、インシデントレスポンス戦術、高度な侵入調査について理解を深めたい方。
効果的な侵入検知システムを構築するために、攻撃者の技術をより深く理解することが求められるエンジニア
データ侵害や侵入のインシデントに対応する情報セキュリティ担当者
政府機関や法執行機関などにおいて捜査等に従事しており、先進的な侵入の調査やインシデントレスポンスをマスターして、従来のホストベースのフォレンジックよりも高度な捜査能力を身につけたい方
レッドチームメンバー、ペネトレーションテスター、エクスプロイト開発者で、行動がシステムによって検知される原理や事例がどのようなものかを知り、それらを回避する方法を理解したい方。本コースには、エクスプロイトの実施や実施後の操作手順と関連して、リモートシステムのフォレンジックとデータ収集技術も含まれています。
FOR500とSEC504を既に受講済みで、更なる技術力の向上を望む方

※FOR508は、GIAC（GCFA）認定試験対象コースです。

GIAC Certified Forensic Analyst

GCFAは、正式なインシデント調査を実施し、内部および外部からのデータ侵害や高度に永続化している脅威、攻撃者が使用するアンチフォレンジック技術、複雑なデジタル・フォレンジックなど、高度なインシデントハンドリングのシナリオに対応するための知識、技術、能力を有することを認定します。GCFAは、データを収集し、分析するために必要なコアスキルに焦点を当てています。

高度なインシデントレスポンスとデジタルフォレンジック
メモリーフォレンジック、タイムライン解析、アンチフォレンジック検知
スレットハンティングとAPT侵入インシデントレスポンス

講義内容の一例

様々な攻撃を効果的に検知し、封じ込め、インシデントを修復するために必要なツール、テクニック、手順を学び、習得します。
企業環境における複数のWindowsシステムにおいて、メモリ上の未知のライブ、休眠、カスタムマルウェアを検出し、ハントします。
PowerShell、F-Response Enterprise、SIFT Workstationを使用して、何百ものシステムで同時に検出し、インシデントレスポンスを実行します。

メモリフォレンジック、レジストリ分析、ネットワーク接続のデータからコマンド＆コントロール（C2）チャンネルに発信するマルウェアを特定し、追跡することができます。
根本原因、攻撃の発端、初期攻撃メカニズムを特定することにより、侵害がどのように発生したかを判断する。
PowerShellやWMIの悪意ある使用など、各種システム特有の技術を特定する。
ネットワーク内を移動し、攻撃者が活動を維持するために使用するLiving off he land技術とともに、マルウェアの隠蔽やタイムスタンプなどの攻撃者の高度なアンチフォレンジック技術を対象とする。
SIFT Workstationのメモリ解析、インシデントレスポンス、脅威ハンティングツールを使用して、隠れたプロセス、マルウェア、攻撃者のコマンドライン、ルートキット、ネットワーク接続などを検出します。
詳細なタイムラインとsuper timeline分析により、分析中のシステムにおけるユーザーと攻撃者の活動を秒単位で追跡します。
ボリュームシャドウコピーと復元ポイントの分析により、アンチフォレンジック技術で消去されたデータを復元します。
エンドポイントにおける企業内の横方向の動きと方針を特定し、攻撃者が検知されずにシステムからシステムへ移行する方法を示します。
ロックダウンされた環境であっても、攻撃者がドメイン管理者権限を含む正当な認証情報を取得する方法を理解することができます。
攻撃者が重要なデータを収集し、それを流出収集ポイントに移動させる際のデータの動きを追跡します。
ボリュームシャドウコピーと復元ポイントの分析およびアーティファクトの切り分けにより、アンチフォレンジック技術を使用して消去されたデータを復元します。
収集したデータを使用して、企業全体にわたって効果的な修復を実行します。

コース開発者より

Matt OlneyはAPTと先進的な高度な攻撃者達について、「彼らはあなたより賢く、彼らはあなたよりリソースがあり、そして彼らはあなたの近くにまで迫っている。だから本腰を入れて取り組まなければならないのだ」と述べています。これは、ジョークではありません。何年も前から、犯罪組織のハッカーや国に雇われたハッカーにより何度も犯罪が成功しています。APTにより何百もの組織が侵害されており、組織化された犯罪集団は、ボットネットを使用してACH（米国の小額自動振り込みシステム）に対する詐欺行為を毎日のように行っているばかりか、同じ様な集団が銀行や商社に侵入し、クレジットカード情報を日々盗んでいます。このような背景から、フォーチュン500に選ばれた企業では、年次株主報告書に、侵害され盗まれたデータを詳細に記載することを始めています。

敵は、より賢く、より大胆になっており、成功率は見事なほど高くなっているのです。

敵を食い止めることはできますが、それにはこの領域に長けた洗練されたインシデントレスポンダとデジタルフォレンジック調査員が必要です。APTを検知し、即座に根絶してしまうことが出来る腕利きのデジタルフォレンジックにおける達人を必要としています。訓練されたインシデントレスポンダでも出来るのは、侵害を放置したまま企業を守るぐらいです。「FOR508：Advanced Digital Forensics, Incident Response, and Threat Hunting」は、これらの高度な脅威に対してステップアップできるアナリストになるための重要なトレーニングです。敵は優秀ですが、それに勝る能力を手に入れることができるでしょう。本コースは、あなたが最高の人物になれるよう支援します。
- Rob Lee

私たちは、大規模で複雑なネットワークに蓄積された想像しがたいデータ量の世界と対峙しています。攻撃者は、この複雑さを利用して防御を切り崩して侵害してくるようになりました。この現状に対してインシデントレスポンスは曲がり角に差し掛かっているのです。古いモデルは、新たな攻撃に対応するため、防御側をより効果的かつ迅速にアップグレードしなければなりません。最も成功したインシデント対応チームは、日々対峙することでますます進化しています。新たなツールや技術が開発され、より良い可視性を提供し、ネットワークをより防御的にします。すると、成功事例はますます多くなり、組織は迅速に侵入を特定し、その問題を改善できるのです。
私は、皆さんをこれらのような成功に導くためにこのコースを作成しました。実務でもそうであるように、コースは継続的に更新されるので、最新の技術がコースにもたらされます。FOR508はインシデントレスポンスの分野だけでなく、すでにハントチームを率いている人にとって、他の経験者から学ぶことを容易にし、さらなるレベルに引き上げるために必要なスキルを支援します。
- Chad Tilbury-

DAY1
DAY2
DAY3
DAY4
DAY5
DAY6

先進的なインシデントレスポンスと脅威のハンティング

あなたを標的にしている攻撃者に対して利点を得る方法があります。それは、正しい考えや何が効果的であるかを知ることから始まります。

この10年は、ネットワークディフェンダーにとって決して親切なものではありませんでした。現代の企業に対する脅威は無数にあり、攻撃者は企業ネットワークの計り知れない複雑さを利用して私たちを攻撃してきました。しかし、潮目は変わりつつあります。過去10年間で、組織に対する巧妙な攻撃が劇的に増加しています。中国やロシアのような国の諜報サービスに端を発した国家による攻撃は、しばしばAPT（Advanced Persistent Threat）と呼ばれていますが、これを抑制することは困難であることが判明しています。世界のあらゆる場所からの大規模な金融攻撃は、数十億ドルの損失をもたらしました。ランサムウェアによる財産強要は、ほぼ一夜にして実存する脅威となりました。私たちには不利な状況にありますが、一方で、最高のチームがこれらの脅威を管理し、軽減することが可能であることも証明しています。FOR508は、そのような苦労の末に得られた教訓を講義に反映し、皆様に提供することを目的としています。

このコースは、組織が侵入を検知して対応する能力を高めることを目的としています。これは達成可能な目標であり、ネットワーク内の悪を発見するために必要なツールとテクニックを教えることから始まります。このコースは、あなたとあなたの組織をソリューションの不可欠な一部にするように設計されています。インシデント対応者と脅威ハンターは、インシデントの迅速な修復という究極の目標を持って、高度な敵を特定し、追跡し、封じ込めるために、最新のツール、分析技術、および企業の方法論で武装していなければなりません。さらに、インシデントレスポンスと脅威ハンティングのアナリストは、企業内の何千ものシステムにまたがる可能性のある取り組みをスケールアップすることができなければなりません。1日目は、高度な脅威グループへのインシデントレスポンスに適用される6段階のインシデントレスポンス方法論を検討することから始めます。サイバー脅威インテリジェンスを開発して敵の「KillChain」に影響を与えることの重要性を解説し、フォレンジックの観点でのライブレスポンス技術と戦術が、単一システムにも企業全体にも適用できることを実証していきます。

攻撃を理解することは、攻撃を検知して軽減するためには非常に重要な事です。初日に攻撃者のテクニックの教育を開始し、一般的なマルウェアの特徴を学び、ネットワーク内での永続性を維持するために敵が使用するテクニックを深く掘り下げていきます。永続性は、攻撃サイクルの早い段階で完了し、ネットワークを監査して早期発見を達成するためのハンティング技術を学びます。特に、Living off land binaries（ほとんどの環境で利用可能なローカルツール）、PowerShell、および WMI ベースの攻撃は、高度な敵の標準的な攻撃手順となっており、このような大規模な攻撃を特定するためのツールやテクニックについて多くを学習します。最後に、マイクロソフトのクレデンシャルについて詳しく説明します。現代の企業におけるクレデンシャルの複雑さは誇張されるものではなく、クレデンシャルはあらゆるネットワークに存在する一番の脆弱性です。クレデンシャルを狙うために使用されているツールやテクニックを理解することで、これらの破壊的な攻撃を防止、検出、軽減する方法を学びます。

演習

SIFT Workstationを使ったフォレンジックラボのセットアップとオリエンテーション
永続性 – マルウェアの永続性の検知と分析
データ収集と分析を企業横断的に拡大する
悪意のあるWMIイベントコンシューマの発見と分析

トピック

実際のインシデント対応戦略

準備：侵入に対する適切な対応をするためにインシデント対応チームが必要とする主要なツール、技法、および手順
識別/スコーピング：インシデントを適切にスコーピングと企業内の侵入を受けたすべてのシステムの検出
封じ込め/インテリジェンス開発：脅威インテリジェンスを開発するための攻撃者のアクセスの制限、監視、および学習
根絶/修復：現在のインシデントを阻止するために必要な重要なステップの決定と実行
回復：類似の攻撃が再度発生した際に備えた脅威インテリジェンスの記録
「場当たり」的対応の回避：即時根絶を行うには適切なインシデントの範囲指定と封じ込めなしには実現しない

脅威ハンティング

ハンティングと受動対応
インテリジェンス主導のインシデント対応
継続的なインシデント対応/脅威の脅威ハンティングの構築
エンドポイントにおけるフォレンジック分析と脅威ハンティング
脅威ハンティングチームの役割
ATT&CK-MITREの対抗戦術、技術、共通知識 (ATT&CK(TM))

企業における脅威ハンティング

侵害されたシステムの特定
活動中、休止中のマルウェアの発見
デジタル署名されたマルウェア
マルウェアの特徴
一般的な隠蔽のメカニズム
正常を理解して悪を見つける

インシデント対応とエンドポイント間のハンティング

WMICとPowerShell
PowerShellのリモートからの実施可能性
PowerShellのリモートからのCredential保護
Kansa PowerShellのリモートからのIRフレームワーク

マルウェア防御の回避と識別

サービスハイジャック/交換
よくあるコンパイル
バイナリパディング
梱包/外装
休止状態のマルウェア
有効な証明書を持つ署名コード
アンチフォレンジック技術／タイムスタンプ
Living Off The Land (LOTL)によるセキュリティツールの回避

マルウェアの持続性の識別

AutoStartロケーション、RunKeys
サービスの作成/リプレース
サービス障害の復旧
スケジュールされたタスク
DLLハイジャック
WMIイベントコンシューマ

機微情報の窃取の防止、検出、緩和

Pass the Hash
Mimikatzを使った機微情報の窃取
トークンの盗用
キャッシュされた機微情報
LSAシークレット
Kerberos認証に対する攻撃
Golden Tickets
Kerberoasting
DCSync
NTDS.DITの盗用
Bloodhoundを使ったActive Directory環境の分析
Metasploit、Acehash、Windows Credential Editorなどの一般的なダンプツール

侵入分析

最も高度な攻撃者も足跡をあらゆるところに残します。最高のハンターの秘密を学んでください。

サイバーディフェンダーには、ネットワーク内の敵の活動を特定、捜索、追跡するためのさまざまなツール類が用意されています。各攻撃者の行動は対応するアーティファクトとして証跡（フットプリント）が残されており、予測可能な攻撃パターンに対して調査を集中することが各チームメンバーに求められます。一例として、ある時点で、攻撃者はその目的を達成するためにコードを実行する必要があります。このアクティビティは、アプリケーション実行アーティファクトによって識別できます。攻撃者はコードを実行するために1つまたは複数のアカウントも必要となります。したがって、アカウント監査は悪意のある操作を識別する強力な手段となります。攻撃者はネットワーク全体に移動する手段も必要とするため、私たちはミッションのこの部分を達成するための比較的少数の方法によって残された証跡を探します。このセクションでは、一般的な攻撃者のスパイ活動の技術について説明し、エンタープライズ内の悪意のあるアクティビティを識別するために使用できる様々なデータソースとフォレンジックツールについて解説します。

演習

プリフェッチ、Shimcache、Amcacheを用いた実行の証拠の発見と検出
イベントログの抽出・分析から資格情報の乱用を発見する
イベントログ分析により横方向への移動（内部移動）を追跡する
WMIおよびPowerShellの不正使用を検出する

トピック

正当な資格情報の盗用と利用

Pass the Hash
シングルサインオン(SSO)Mimikatzを使用したダンプ
トークンの盗用
キャッシュされたクレデンシャル
LSAシークレット
Kerberos攻撃
NTDS.DITの盗難

実行痕跡の高度な証拠

プロセスの実行によって過剰に処理される攻撃手法、テクニック、および手順(TTP)
プリフェッチ分析
アプリケーション互換性キャッシュ（Shimcache）
Aamcacheレジストリ検査
ShimCacheとAmcacheの調査のスケーリング

横移動に対する戦術、テクニック、手順（TTP）

クレデンシャル技術の侵害
リモートデスクトップサービスの悪用
Windows管理者による不正使用の共有
PsExec と Cobalt Strike ビーコン　PsExecのアクティビティ
Windowsリモート管理ツールのテクニック
PowerShellリモート処理/ WMICハッキング
Cobalt Strikeを利用したラテラル・ムーブメントと機微情報の利用
脆弱性の悪用

インシデントレスポンダおよびハンターのイベントログ分析

プロファイリングアカウントの利用によるログオン
横方向の動きの追跡とハンティング
疑わしいサービスの特定
不正アプリケーションのインストール検出
マルウェア実行とプロセス追跡の発見
コマンドラインとスクリプトのキャプチャ
アンチフォレンジックとイベントログの消去

WMIおよびPowerShellベースの攻撃の調査

WMIの概要
キルチェーンを介したWMI攻撃
WMI リポジトリの監査
WMI ファイルシステムとレジストリの残留物
コマンドライン解析とWMIアクティビティのロギング
PowerShellのトランスクリプトとScriptBlockのロギング
Cobalt Strike beaconのPowerShellインポートアクティビティの発見
Cobalt Strike、Metasploit、EmpireからのPowerShellインジェクションの検出
PowerShellスクリプトの難読化

インシデントレスポンスと脅威のハンティングにおけるメモリフォレンジック

メモリ分析を使うのは時にズルをしているように感じます - アクティブな攻撃を見つけるのは簡単ではありません。

メモリフォレンジックは、わずか数年の間に長い道のりを歩んできました。現在では、多くの高度なtool suitesの重要なコンポーネントとなっており、インシデントレスポンスや脅威ハンティングを成功させるチームの中心となっています。メモリフォレンジックは、標的型攻撃者が使用したワーム、Rootkit、PowerShell、ランサムウェアの前兆および高度なマルウェアの証拠を見つけるのに非常に効果的です。実際、ファイルレス攻撃の中には、メモリ解析なしでは解明が不可能に近いものもあります。メモリ解析は従来、Windows内部に精通した専門家やリバースエンジニアの領域でしたが、新しいツール、技術、検出ヒューリスティックにより、今日ではすべての調査者、インシデントレスポンダー、および脅威ハンターが利用できるようになりました。さらに、メモリ内の攻撃パターンを理解することは、幅広いエンドポイント検知・レスポンス製品（EDR）に適用可能なコア・アナリストのスキルであり、これらのツールをさらに効果的なものとします。この非常に人気の高いセクションでは、活用可能な最も強力なメモリ解析機能の多くをカバーし、使用するツールセットにかかわらず、調査を超強化するための高度なメモリ・フォレンジック・スキルの確固たる基礎を提供します。

演習

Velociraptorを使用したリモートエンドポイントインシデント対応、ハンティング、および分析
F-Response Enterpriseを使用したリモートエンドポイントトリアージとメモリ検査
KAPEによるローカルおよびリモートのトリアージイメージの作成
エンタープライズ環境にある複数システムのメモリから、未知のカスタムマルウェア（活動中／休止中）を検出する
通常か変異かを識別するためWindowsプロセスツリーを調査する
マルウェアが攻撃者とコマンド＆コントロール（C2）チャネルの通信をするために利用する、一般ポートのAPTビーコンを探す
メモリ上の文字列検索やバッファ履歴から残っているコマンドラインを探す
Frequency of Least Occurrence スタッキング技術を用いて、侵害されたシステムのメモリをベースラインシステムと比較する
コードインジェクションとルートキットを含む高度なマルウェア隠蔽手法を特定する
分析を自動化するための侵害インジケータの採用
マルウェア感染したシステムのメモリイメージを分析する
- Stuxnet
- TDL3/ TDSS
- Cozyduke RAT
- Rundll32とLiving Off The Land (LOTL)の実行
- Zeus/Zbot/Zloader
- Emotet
- SolarMarker
- Black Energy Rootkit
- WMI and PowerShell
- Cobalt Strike Beacons と Powerpick
- Cobalt Strike の犠牲的プロセス
- Metasploit
- Custom APT command and control malware

トピック

リモートおよびエンタープライズ・インシデント・レスポンス

エンタープライズでのリモートエンドポイントアクセス
RemoteEndpointホストベースの解析
スケーラブルなホストベースの解析(1,000のシステムを調査するアナリスト)およびデータスタッキング
リモートメモリ解析
Velociraptor、F-Response、KAPE

トリアージ、エンドポイントディテクションおよびレスポンス（EDR）

エンドポイントトリアージコレクション
EDRの機能と課題
EDRとメモリフォレンジック

メモリ獲得

システムメモリの取得
ハイバネーションとページファイルメモリの抽出と変換
仮想マシンのメモリ獲得
Windows 10および11におけるメモリの変更点

レスポンスとハンティングのためのメモリフォレンジック分析プロセス

共通のWindowsサービスとプロセスの理解
不正なプロセスの特定
プロセスDLLとハンドルの解析
ネットワークアーティファクトの確認
コードインジェクションの証拠探し
ルートキットの兆候確認
疑わしいプロセスとドライバの入手

メモリフォレンジックスの検査

ライブメモリフォレンジック
ボラティリティを備えた高度なメモリ解析
プロセスツリー解析によるWebshellの検出
メモリ内でのコードインジェクション、マルウェア、およびルートキットのハンティング
MecProcFSを利用した高度なメモリフォレンジック
WMIおよびPowerShellプロセス
メモリに常駐する攻撃者のコマンドラインの抽出
Windowsサービスの調査
比較ベースラインシステムを使用したマルウェアのハンティング
RAMからキャッシュファイルを検索してダンプ

メモリ解析ツール

Volatility
F-Response
Velociraptor
MemProcFS

受講生は、F-Response Enterprise Editionの6ヶ月間のフルライセンスを受けることができ、ワークステーションまたはSIFTワークステーションを使用して、企業内の何百、何千ものシステムに接続し、アクションをスクリプト化することができます。この機能は、新しいインシデントレスポンスと脅威検知技術をベンチマーク・促進し、実証するために使われます。これにより、レスポンダは、メモリとディスク上の企業ネットワーク全体で侵害の指標を探すことができます。

タイムライン解析

タイムライン解析は、デジタルフォレンジック脅威のハンティング及びインシデントなどへの対応方法に変革をもたらします。

タイムライン解析を知れば、今までのデジタルフォレンジックとインシデントレスポンスのやり方が劇的に変わるでしょう。スパイ活動に対するタイムライン解析の先駆者から直接学ぶことで、その高度な解析技術を知ることができます。

一時データは、コンピュータシステムのありとあらゆる所に存在しています。ファイルシステムの更新・アクセス・作成・変更時刻、ログファイル、ネットワークデータ、レジストリデータ、ブラウザの履歴ファイルなど、すべての時間データは関連付けられ、分析することで事件を迅速に解決することができます。2001年にRob Leeがこの分析手法を開拓して以来、タイムライン解析は複雑な事件を解決する強力な調査手法として使用されてきました。新しいタイムライン解析のフレームワークでは、いくつもの時間ベースの解析を同時に処理することができます。これにより解析に費やす時間が1日から数分に短縮することができ、強力な調査手法としての立場を不動のものとしています。

このセクションでは、複雑なインシデントとフォレンジック事例においてタイムラインを作り、それぞれ解析する2つの手法について順に見ていきます。演習では、タイムラインの作成方法だけではなく、受講者が実際に経験した事例などを題材として、より効果的な分析につなげるための方法を紹介します。

演習

マルウェアの防御回避技術の検知
タイムライン分析を用いて、APTグループのマルウェア、ラテラル・ムーブメント、永続性の痕跡を追跡し、攻撃者の活動を追跡する
高度な技術を持つ攻撃者ががネットワーク内での移動やプレゼンスの維持に使用する、隠された、あるいは"time-stomped”マルウェアやユーティリティを標的とする
綿密なスーパータイムライン分析により、攻撃者の行動を秒単位で追跡する
ファイルシステムタイム、レジストリ、イベントログ、shimcache、その他の時間ベースのアーティファクトに残された痕跡を見ることで、攻撃者が企業内の他のシステムにどのようにラテラル・ムーブメントを行うかを観察する
侵入の根本原因を特定する
システムアーティファクト、ファイルシステム、レジストリのタイムラインをフィルタリングする方法を学び、最も重要なデータソースを効率的に識別する方法をご紹介します。

トピック

マルウェアの防御回避と検知

妥協点の指標 - YARA
エントロピーとパッキング解析
実行可能な異常の検出
デジタル署名解析

タイムライン解析の概要

タイムライン解析による利点
前提知識
Pivot Pointの検出
タイムラインコンテキストのヒント
タイムライン解析のプロセス

ファイルシステムタイムラインの作成と分析

MACBタイムスタンプ
Windowsタイムルール（ファイルコピーとファイル移動）
Sleuthkit, fls, MFTECmd を使用したファイルシステムのタイムライン作成
mactimeツールを使用したボディファイルの分析とフィルタリング

スーパータイムラインの作成と分析

スーパータイムラインアーティファクトルール
プログラムの実行、ファイルの知識、ファイルの開き方、ファイルの削除
log2timeline / Plasoによるタイムラインの作成
log2timeline/ Plaso コンポーネント
psortを使用したスーパータイムラインのフィルタリング
ターゲットスーパータイムラインの作成
スーパータイムライン解析
Elastic Search（ELK）によるスーパータイムライン解析の拡張

インシデントレスポンスとエンタープライズハンティング｜高度な攻撃とフォレンジック検知

優秀な敵に対して、私達は彼らを上回る能力を身に付けなければなりません。

フォレンジック対策のステップの中には、比較的簡単に検知できるものもあれば、対応するのが難しいものもあります。そのため、フォレンジックの専門家やインシデントレスポンダは、重要な残存証拠として明らかにすることができるオペレーティング・システムとファイル・システムの様々な側面について知識を持っていることが重要です。サイバー犯罪組織はアンチフォレンジック技術を積極的に利用するようになっています。このセクションでは、主にファイルシステムに焦点を当てて、調査に関係するファイル、ファイルの断片、およびファイルのメタデータを復元します。これらの痕跡は、削除されたログ、攻撃者のツール、マルウェアの構成情報、流出したデータなどを分析者が発見するのに役立ちます。これにより、攻撃者のTTPをより深く理解することができ、侵入を徹底的に調べ上げるためのより多くの脅威インテリジェンスが得られることがよくあります。場合によっては、これらのディープダイブのための技術が、攻撃者が対象のシステム上で活動していたことを証明する唯一の手段になることもあります。これらの技術は、不正侵入を調査するケースにに非常に関連性が深いですが、ほぼすべてのフォレンジック調査に活用できます。

演習

ボリュームシャドウのスナップショット分析
ボリュームシャドウのスナップショットにまたがるタイムライン
NTFS ファイルシステムの様々なコンポーネントを使用したアンチフォレンジック分析
不審なファイルをチェックするTimestomp
レコードカービングと削除されたボリュームシャドウコピーのリカバリと高度なデータリカバリ

トピック

ボリュームシャドウコピー分析

ボリュームシャドウコピーサービス
ボリュームスナップショットの履歴データにアクセスするためのオプション
vshadowmount でのシャドウコピーへのアクセス
ボリュームシャドウコピーのタイムライン

先進的なNTFSファイルシステムの戦略

NTFSファイルシステム分析
マスターファイルテーブル（MFT）の重要領域
NTFSシステムファイル
NTFSメタデータ属性
$ StdInfoおよび$ Filenameに対するWindowsタイムスタンプの規則
タイムスタンプ解析による検出
常駐ファイルと非常駐ファイル
代替データストリーム
NTFSディレクトリ属性
B-Treeインデックスの概要とバランス
ディレクトリ一覧と$ I30ファイルを使用した、ワイプ/削除されたファイルの検索
ファイルシステムフライトレコーダ:トランザクションロギングと$ Logfileおよび$ UsnJrnl
ジャーナル内の共通の活動パターン
ジャーナル内の便利なフィルタと検索
NTFSファイルシステムからデータが削除された時の挙動

高度な証跡回復

一般的なWiperとPrivacy Cleanerのマーカー
削除されたレジストリキー
レジストリ内の「ファイルレス」マルウェアの検出
ファイルカービング
ボリュームシャドウカービング
NTFSとイベントログレコードのカービング
効果的な文字列検索
アンチフォレンジックに対抗するためのNTFSコンフィグの変更

APT Threat Group インシデントレスポンスチャレンジ

APTのような攻撃のシミュレーションを行い、本コースで学んだデジタルフォレンジック、ネットワークフォレンジックなどの知識を総動員して学習成果を確認します。シミュレーション環境では、複数のWindowsで構成される企業環境を模したシステムが侵害されているという状況が付与されます。受講生は、最初にどのようにシステムが侵害されたかを検出し、続いて他のシステムへ侵入した形跡を見つけ、最終的にデータ抽出によって知的財産が盗まれたことを証明するという、実践形式の訓練を通じて、その能力を競います。国家から金融犯罪シンジケート、ハクティビストグループに至るまで、様々な攻撃者からの高度な脅威に対処してきた数十年の経験を持つ講師陣が、本チャレンジを設計・開発し、あなたに提供します。

トピック

侵入フォレンジックチャレンジでは各インシデント対応チームは企業ネットワーク内の複数のシステムで発生したインシデントの解析を行います。
ネットワーク全体にわたる攻撃者の行動を特定・追跡する方法を学び、初期搾取、偵察、永続性、クレデンシャルダンピング、ラテラルムーブメント、ドメイン管理者への昇格、データの窃盗/侵入を発見します。
インシデント対応のためのチームベースのアプローチに参加する。
Cobalt Strike、Metasploit、PowerShell exploit フレームワーク、カスタムマルウェアなど、最も一般的で洗練された攻撃の証拠を発見します
チャレンジ中、各インシデント対応チームは組織内での実際の侵害と同様に、以下にリストされているさまざまなカテゴリの重要な質問に答え、重大な問題に対処するよう求められます。

識別とスコープ

いつ、どのようにしてネットワークが侵害されたのか
侵入された全システムのIPアドレスと侵入特有の痕跡を一覧化します。
攻撃者はいつ、どのようにして最初の水平方向の動きを各システムに対して行ったか？

封じ込めと脅威インテリジェンスの収集：

攻撃者はいつ、どのようにしてドメイン管理者の資格情報を入手したか？
一旦侵入し後、攻撃者は各システムで何を探したか？
エグゼクティブアカウントに紐付く電子メールから受けた損害の評価を行う
盗まれたものの特定。抽出された.rarファイルまたはその他のアーカイブを復元し、暗号化パスワードを見つけ、内容を抽出して抽出データを検証する。
攻撃に使用されたすべてのマルウェアを収集して一覧化
侵害されたホストやネットワークに対する、指標に基づいたサイバー脅威インテリジェンスの開発と提示

修復と回復

どのレベルのアカウントが侵害されたか。修復中に完全なパスワードリセットが必要か？
インシデント中に発見された攻撃者のテクニックとツールに基づくインシデントの修正と回復に向けた推奨手順は何か？
1. システムを再構築する必要があるか？
2. どのIPアドレスをブロックする必要があるか？
3. これらの攻撃者が戻ってきた場合の対処方法を教えてください。
4. 私たちのネットワークでこれらの侵入者をもう一度検出するために、どのような提案をしますか？

追加注意事項

FOR500に参加したことがある方は、FOR500 - Windows SIFT Workstation Virtual Machineのコピーを持参してください。最後のチャレンジやFOR508の多くのエクササイズに使用することができます。
役に立ちそうな他のフォレンジックツール（Splunk、EDR、EnCase、FTKなど）を持参/インストールしても構いません。コースの最後に行われる最終課題では、商用のものを含め、あらゆるフォレンジックツールを利用することができます。ドングルやライセンスソフトウェアなどをお持ちであれば、自由にご利用いただけます。
インターネットからダウンロードしたSIFTワークステーションは使用しないでください。講座の1日目にFOR508専用に設定されたバージョンをお渡しします。
ノートPCの仕様に関するその他のご質問は、laptop_prep@sans.org までお問い合わせください。

NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。