Industrial Control Systems 515

ICS515 PC設定詳細

本コースは、講義と演習を行います。ラボセッションでは、インストラクターが提示する環境を使って、コース全体を通して習得した知識を駆使して実践的に学んでいただきます。受講生ご自身にツールをインストールして設定を行っていただき、実際に使用することで、今まで学んできた技術を演習によって確認することができます。

重要:以下の環境のノートPCをご持参下さい。
コース開始前の事前準備として、5つのことをお願いしています。早めの準備をすることで、トレーニングを最大限に活用することができます。まず、適切に設定されたノートPCの持参をお願いいたします。この資料では、クラスに必要なシステムのハードウェアとソフトウェアの設定について詳しく説明しています。また、準備に関してのビデオをhttps://sansurl.com/sans-setup-videosから閲覧することができます。

講義の全てのコンテンツに参加するためには、適切に設定されたノートPCが必要です。この指示に従わないと、このコースの演習に参加することができず、満足のいく授業を受けることができない可能性が高いです。そのため、以下の条件をすべて満たすシステムを用意することを強くお勧めします。

注意：実習のためのツール類をインストールすることによって、一部システムの動作に支障をきたす可能性があります。SANSではデータの破損や読み書きに関して責任をとることはできませんので、重要なデータが格納されているノートPCでの実習はお控えください。

注意：受講生は、OSおよびすべてのインストールされているセキュリティソフトウェアへアクセスするための管理者権限が必要になります。ラボでの演習を行うために、パーソナルファイアウォールとその他のホスト型のセキュリティソフトウェアの設定を変更する必要があります。

ノートパソコンのハードウェア要件、ソフトウエア要件

• 64ビット環境のシステムであること
• ホストまたは仮想化により最新バージョンのWindowsを動かせること
• 最低でも2つのUSBポートがあること
• VMware Workstation Pro 15.5、VMware Workstation Player 15.5、VMware Fusion 11.5　以上のバージョンのインストール。
• ファイアウォールやウイルス対策ソフトを含む全てのセキュリティソフトウエアの機能を無効化できること。
• 最低でも100GB以上のストレージ空き領域があること
• 最低でも8GB以上（8GBを推奨）のメモリを搭載していること
• ホストOSに対するローカル管理者権限や、BIOS設定の変更可能な権限を有していること
• 無線ネットワーク接続ができること（802.11 B/G/N/ACのいずれか）
  
  ノートパソコンの設定に関して追加で質問がある場合は、info@sans-japan.jp（NRIセキュアテクノロジーズ）にお問い合わせください。ただし、米国と問合せを行う関係上時間を要する場合がございます。お急ぎの方はlaptop_prep@sans.orgに直接お問い合わせください（英文）。

LiveOnlineでのコースメディアの事前準備、テキストについて

「ICS515：ICS アクティブディフェンスとインシデントレスポンス」は、ICSのサイバー攻撃をひもといて、アクティブディフェンスという考え方を採用することで、あなたのICSに対する脅威を特定し、対応を支援できるようになることを目指しています。また、インシデントレスポンスの手順により、安全で信頼性の高い運用が可能になるでしょう。

本コースでは、ネットワーク化された産業制御システム（ICS）環境の理解から、システムに対する脅威の監視、特定された脅威へのインシデントレスポンス、および攻撃者と対峙可能なネットワークセキュリティの強化につなげていくようになっています。また、ネットワークの監視プロセスや対応、脅威からの学習こそがアクティブディフェンスであり、これはStuxnet、Havex、CRASHOVERRIDE、TRISISなどに代表される高度な攻撃から、皆様のICSが標的となった場合、防御するために必要なアプローチとなるでしょう。受講生がこのコースを終了すると、現実的なマルウェアによるICSへの攻撃についてハンズオンを通じた体験から、ICSに対する標的型攻撃を識別する能力を習得し、攻撃者に対応することが可能になります。脅威情報の確認やネットワークセキュリティ監視、マルウェア分析、インシデントレスポンスといったアクティブディフェンスコンセプトを用いて、実践的かつ技術的な理解をすることで、安全で信頼性の高いICSの運用が可能になるでしょう。本コースで紹介する戦略とテクニカルスキルは、ICS組織において実行可能な防御の基礎となるものです。

主な内容：

• セキュリティ運用に注力したインシデントレスポンスを実施し、運用の安全性と信頼を優先させる方法。
• 環境を維持するために必要な、脅威情報の生成プロセス、コミュニティからの入手方法や活用方法。ICS脅威情報の詳細な分析と適用を定期的に行うスキル。
• 資産とそのネットワークトポロジを特定する方法、および注目すべきICSでの異常や脅威を監視する方法。ICSネットワークセキュリティ監視などの方法論と制御システムの脅威環境を低減するための方法。
• 素早く環境の特定をするために必要な、重視すべき情報と脅威の根本原因の理解につながるマルウェアの分析方法
• 攻撃を受ける中で、運用チームや意思決定者に対して、稼動停止をするか否かの指示を行うために必要な情報の取得方法。
• アクティブディフェンスと防護を目的とした、複数のセキュリティ施策の相互連携方法。テクニカルコンセプトとハンズオンの二つで補強します。

本講座受講にあたっての前提

ITまたはICSの経験がある方のほか、SANSのICS410、SEC401またはそれらと同等のサイバーセキュリティに関する経験をお持ちの方。ICSに関する経験は必須ではありませんが、SCADA、DCS、PLC、RTUなどのICS用語やOT環境におけるリスク分解と緩和アプローチに関する理解があることをお勧めします。
以下のコースの受講経験者
・ICS410
・SEC401
コース前提として、ICS410、SEC401、あるいは同等のスキルを持っていること。

本コースを受講後にお勧めのコース：FOR578、FOR572、FOR508、FOR610、SEC511

• ICSインシデントレスポンスチームのリーダーまたはメンバーで、ICSを安全に運用するために必要な、高度な脅威に対応する方法に学びたいと考えている方。
• ICSや運用、およびセキュリティプロフェッショナルで、ICSアクティブディフェンスを活用し、ネットワークセキュリティ監視や脅威情報の取組みについて学びたい方
• ITセキュリティプロフェッショナルで、ICSプロトコル、脅威、優先順位など、ICS分野の知識を伸ばしたい方
• SOCチームやアナリストで、ICS SOCやデュアルIT/OT SOCにおいて、OTネットワークやICS資産を関する方法を学びたい方
• ICSレッドチームとペネトレーションテスターの方で、最新の防御戦略のなかで、　最大限のパフォーマンスを発揮し、ICSネットワークの改善ポイントを見出したい方
• アクティブディフェンスを担当する方で、自ら高度な標的型攻撃を特定し、対応する方法を学びたい方

• ネットワークにおける高度な脅威を特定するうえで、必要なネットワークの基本情報を得ることを目的としたICSネットワークの検査、資産情報やそのデータフローを特定します。
• アクティブディフェンスのコンセプトを活用し、脅威情報の使いかたやネットワークセキュリティ監視、マルウェア分析など、ICS防御に焦点を定めたインシデントレスポンスの進め方を理解します。
• CYBATIworksキットなどを使用した独自PLCの作成をします。
• Havex、BlackEnergy2、Stuxnetなどを含むハンズオン経験をもとに、脅威を理解する分析について理解します。
• Shodan、Security Onion、TCPDump、Netowork-Miner、Foremost、Wireshark、Snort、Bro、SGUIL、ELSA、Volatility、Redline、FTK Imager、PDFアナライザ、マルウェアサンドボックスなどもハンズオンで使用します。
• OpenIOCとYARAを使用したIOCの作成を行うと共に、STIXやTAXIIなどの共有情報を理解します。
• Sliding Scale of Cybersecurity、Active Cyber Defense Cycle、ICS Cyber Kill Chainを活用した、脅威情報からの情報抽出とICSネットワークセキュリティに対して長期的な成功を収めるための推奨事項を理解します。

ハンズオン

• CYBATIworksキットを用いたPLCの構築。
• Shodanを用いた資産情報の確認。
• 競合仮説分析
• 脅威情報レポートの取り込み
• ラボのネットワーク上でadvanced persistent threat （APT）の影響を受けたHuman Machine Interface（HMI）にインシデントレスポンダーを誘導するための新しいアクティブ・ディフェンス・スキルの確認
• ネットワーク上で確認されたAPTマルウェアの影響を受けているシステムを特定し、分析可能な脅威のサンプルを収集
• 感染したHMIと特定されたAPTマルウェアのサンプルから、マルウェアを分析し、情報を抽出し、アクティブディフェンスを完成させるためのYARAルールを作成
• 2種類のシナリオに基づくハンズオンの実施。
  　1．SANS Cyber Cityへの侵入から得られたデータの分析
  　2．マルウェア感染したDCSから得られたデータ分析