SEC503は、情報セキュリティのキャリアにおいて、最も重要なコースの一つです。これまでに受講したクラスの中で最も難しいクラスであると同時に、最もやりがいのあるクラスであるとも言われています。このコースは、
ネットワーク上のゼロデイ活動を情報公開前に発見したいと考えている方には、適切なコースです。すぐに使える侵入検知システム（IDS）が発するアラートを単に理解しようとする人のためのものではありません。自分のネットワークで今何が起きているのかを深く理解し、どのツールも教えてくれないような非常に深刻なことが今起きているのではないかと疑っている人のためのコースです。 このコースが他のトレーニングと違うのは、ネットワーク侵入検知とネットワークフォレンジックを教えるのに、ボトムアップのアプローチをとっていることです。このコースでは、ツールの使い方から始まり、そのツールをさまざまな状況でどう使うかを教えるのではなく、TCP/IPプロトコルがどのように機能するのか、そしてその理由を教えます。最初の2日間で「第二言語としてのパケット」と呼ばれるものを検証した後、一般的なアプリケーションプロトコルと、新しいプロトコルを研究し理解するための一般的なアプローチを追加します。
ゼロデイと既知の脅威の両方を特定するために、この知識を直接活用することができます。このようにネットワークプロトコルの仕組みを深く理解した上で、業界で最も広く使われているツールに目を向け、この深い知識を応用していきます。その結果、このクラスを終了するときには、ネットワークの計測方法を明確に理解し、詳細なインシデント分析と再構築を行うことができるようになります。
SEC503が重要であると私たちが考えている（そして学生からもそう言われている）のは、批判的思考力を養い、それをこれらの深い基礎に適用することを強制していることです。その結果、今日使用されている実質的にすべてのセキュリティ技術について、より深く理解することができるのです。今日の脅威環境においてネットワークのセキュリティを維持することは、特にクラウドへのサービス移行が進むにつれて、これまで以上に困難になっています。セキュリティの状況は、かつては境界線の保護だけだったものが、ほとんど常に接続され、時には脆弱な状態にある露出したシステムやモバイルシステムの保護へと絶えず変化しています。
SEC503では、TCP/IPの基礎理論や、DNSやHTTPなどの最も使用されているアプリケーション・プロトコルをカバーし、ネットワーク・トラフィックに危険やゼロデイ脅威の兆候がないかどうかをインテリジェントに調べることができるようにするための具体的な技術知識と実習の一部を行います。tcpdump、Wireshark、Snort、Suricata、Zeek、tshark、SiLK、NetFlow/IPFIXなど、さまざまなツールを使いこなすための練習をたくさんします。すべての経験レベルに適した毎日の実習は、知識を実行に移すことができるようにコースブックの材料を強化し、夜のBootcampセッションは、日中に学んだ理論をすぐに現実世界の問題に適用することを強制します。基本的な演習には補助的なヒントが含まれており、上級者向けのオプションでは、すでに内容を知っている学生や、新しい内容をすぐにマスターした学生にとって、より難しい体験ができます。
SEC503は、セキュリティアナリストやセキュリティオペレーションセンターで働く人など、ネットワークの監視、防御、脅威の探索を行う学生に最も適していますが、レッドチームのメンバーからは、特に検知されないようにするために、このコースを受講することで、より良いゲームができるとよく言われています。
できるようになること
- SnortとSuricataの設定と実行
- 効果的かつ効率的なSnort、Suricata、FirePOWERのルールの作成と記述
- オープンソースのZeekを設定・実行し、ハイブリッドなトラフィック解析フレームワークを提供できる
- TCP/IPコンポーネントレイヤーを理解し、正常なトラフィックと異常なトラフィックを識別できる
- トラフィック解析ツールを使用して、侵害やアクティブな脅威の兆候を特定する。
- ネットワークフォレンジックを実施し、トラフィックを調査してTTPを特定し、アクティブな脅威を発見する。
- ネットワークトラフィックからファイルなどのコンテンツを切り出し、事象を再現する。
- BPFフィルタを作成し、特定のトラフィック特性を選択的にスケールで検査することができる。
- Scapyによるパケットの作成
- NetFlow/IPFIXツールを使用して、ネットワーク動作の異常や潜在的な脅威を発見する。
- ネットワークアーキテクチャとハードウェアに関する知識を活用して、IDSセンサーの配置をカスタマイズし、オフラインでトラフィックをスニッフィングする。
SEC503のハンズオントレーニングは、初心者の方にもベテランの方にも親しみやすく、チャレンジングな内容になっています。各エクササイズには2つの異なるアプローチがあります。1つ目は、経験の浅い方向けのガイダンスとヒントを含み、2つ目はガイダンスを含まず、経験豊富な方向けとなっています。さらに、各エクササイズにはオプションで追加問題が用意されており、特に難易度の高いブレインティーザーを求める上級者のために用意されています。ハンズオン演習の一例は以下の通りです。
- 1日目：ハンズオン：Wiresharkの紹介
- 2日目：ハンズオン：tcpdumpフィルターの作成
- 3日目：ハンズオン：Snortルールの作成
- 4日目：ハンズオン：IDS/IPSの回避理論
- 5日目：ハンズオン：3つの独立したインシデントシナリオの分析
教材の内容
- 実践的な演習と問題を収録した電子ワークブック
- TCP/IP電子チートシート
- 全コースの講義を収録したMP3オーディオファイル
