FORENSICS 528

Ransomware and Cyber Extortion

English

日程: 2026年11月9日(月)~2026年11月11日(水)

期間: 3日間

講義時間: 1日目:9:00-17:30
2日目~3日目:9:30-17:30

受講スタイル: LiveOnline（オンライン受講）

会場: ◆LiveOnline形式
　オンライン

GIAC認定資格: -

講師: Phill Moore|フィルムーアー
SANS認定インストラクター

言語: 英語　英語教材・同時通訳

定員: 40名

CPEポイント: 24 Points

受講料: 638,500円（税込み 702,350円）

※本コースでは早期割引を実施しておりません。

申込締切日: 2026年10月29日(木) 13:00

オプション

OnDemand 価格：149,850円（税込み 164,835円）
NetWars Continuous 価格：266,250円（税込み 292,875円）

※オプションの価格は、コース本体とセットでお申込みいただく場合のみ有効です。
※お申込み締切後はオプションの追加のお申込みを承ることができませんのでご了承ください。

以下の「お申し込み」を押すと、NRIセキュアのお申し込みサイトに遷移します。

受講に必要なPC環境

演習で使用するノートPCをご準備下さい。受講に必要なPC環境についてご確認ください。

FOR528 PC設定詳細

重要：次の手順に従って構成したノートPCをご準備ください。

本コースに参加するには、適切に設定されたシステムが必要です。手順をよく読み、指示をよく読み、その通りに設定を行わないと、コース内のハンズオン演習に完全に参加できなくなる可能性があります。したがって、指定されたすべての要件を満たすシステムをご持参ください。

受講前にシステムのバックアップを取っておいてください。機密データや重要なデータが含まれていないシステムを使用することをお勧めします。SANSは、受講者のシステムやデータについて一切の責任を負いません。

必須システムハードウェア要件

CPU: 64ビット Intel i5/i7（第8世代以降）またはAMDの同等品が必要です。本クラスでは、x64ビット、2.0GHz以上のプロセッサが必須です。
重要: Apple Silicon搭載デバイス（M5やその他のM*チップなど）では、必要な仮想化機能が動作しないため、本コースでは一切使用できません。
- 繰り返しになりますが、Appleシリコン搭載デバイスでは必要な仮想化機能が動作しないため、本コースでは使用できません。
BIOS設定で、「Intel-VT-x」や「AMD-V」拡張機能などの仮想化技術を有効にする必要があります。設定変更が必要になった場合に備え、BIOSがパスワードで保護されている場合は、確実にアクセスできる状態にしておいてください。
16GB以上のRAMが必要です。
- このメモリ要件は非常に重要です。RAMが16GB未満の場合、コースで使用する仮想マシン（VM）を同時に実行できず、受講体験が著しく損なわれる可能性があります。
200GB以上の空きストレージ容量が必要です。
USB 3.0 Type-Aポートが少なくとも1つ利用可能であること。新型ノートPCでは、Type-CからType-Aへの変換アダプタが必要になる場合があります。一部のエンドポイントプロテクションソフトウェアはUSBデバイスの使用を制限することがあるため、受講前にUSBドライブを使用してシステムの動作確認を行ってください。
オンサイトで受講される方へ：無線ネットワーク（802.11規格）への接続機能が必要です。会場内に有線インターネット接続はありません。

ホスト構成とソフトウェア要件

ホストOSは、Windows 10、Windows 11、またはmacOS 10.15.x以降の最新バージョンである必要があります。
- 重要：Apple Silicon搭載デバイスはこのコースに適していないという上記の注意事項を必ずご確認ください。macOSを使用する場合、2019年や2020年モデルのMacBook Proなど、IntelベースのMacintoshを使用する必要があります。適切なドライバーやパッチがインストールされていることを確認するため、受講前にホストOSを最新の状態にアップデートしてください。
Linuxホストは、その種類の多さから、本コースの環境ではサポート対象外となります。Linuxをホストとして使用する場合、コース教材や仮想マシン（VM）で動作するように設定を行う責任は、受講者ご自身にあります。
ローカル管理者権限が必要です。（はい、これは必須条件です。）もし勤務先がコース期間中にこの権限の使用を許可しない場合は、別のノートPCを用意するなどの手配を行ってください。
ウイルス対策ソフトやエンドポイントプロテクションソフトウェアを無効化または完全に削除しておくか、あるいはそれらを行うための管理者権限を確保しておいてください。多くのコースではOSに対する完全な管理者権限が必要となりますが、これらのセキュリティ製品が原因で、実習（ラボ）を完了できなくなる可能性があります。
外部への通信（エグレス・トラフィック）に対するフィルタリングが行われていると、コースの実習を完了できない場合があります。ファイアウォールは無効にしておくか、無効化するための管理者権限が必要です。
受講開始前に、以下のいずれかのソフトウェアをダウンロードしてインストールしてください：VMware Workstation Pro 16.2.X以降またはVMware Player 16.2.X以降（Windows 10ホストの場合）、VMware Workstation Pro 17.0.0以降またはVMware Player 17.0.0以降（Windows 11ホストの場合）、あるいはVMware Fusion Pro 12.2以降またはVMware Fusion Player 11.5以降（macOSホストの場合）。
- VMware Workstation ProおよびVMware Fusion Proは、現在Broadcomから無償で提供されていますのでご注意ください。ただし、無償版を入手する手続きには待機期間（審査期間など）が含まれます。そのため、現在マシンに仮想化環境がインストールされていない場合は、受講開始前に必ずこのソフトウェアを入手、インストール、および設定しておいてください。
- VMware Workstation ProやVMware Fusion Proの入手方法に関する詳細は、https://for528.com/vmware をご覧ください。
Windowsホストの場合、VMware製品はHyper-Vハイパーバイザーと共存できないことがあります。最適な環境で利用するには、VMwareで仮想マシンを起動できることを確認してください。そのためには、Hyper-Vを無効にする必要がある場合があります。Hyper-V、Device Guard、およびCredential Guardを無効にする手順は、コース教材に付属のセットアップドキュメントに記載されています。
7-Zip（Windowsホスト用）またはKeka（macOSホスト用）をダウンロードしてインストールしてください。これらのツールも、ダウンロードしたコース教材に含まれています。

コースのメディアはダウンロード形式で提供されます。クラスで使用するメディアファイルは約50GBあります。そのため、ダウンロードの完了には十分な時間を確保する必要があります。インターネット接続や通信速度は、多くの要因に左右され、大きく変動します。したがって、教材のダウンロードにかかる時間の目安をお伝えすることはできません。リンクを入手したら、すぐにコースメディアのダウンロードを開始してください。

コース教材はダウンロード形式で提供されます。教材ファイルは合計で約100GBと大容量です。ダウンロード完了まで十分な時間を確保してください。インターネット接続や通信速度は、さまざまな要因によって大きく異なります。そのため、教材のダウンロードにかかる時間の目安をお伝えすることはできません。リンクを入手したら、すぐにコース教材のダウンロードを開始してください。受講初日から教材が必要になります。受講前日の夜までダウンロードを待つようなことはしないでください。

コース教材には「セットアップ手順書」が含まれています。これには、オンサイトクラスへの参加やライブオンラインクラスの開始前に行うべき重要な手順が記載されています。この手順を完了するまでに30分以上かかる場合があります。

ラボの手順書として電子ワークブックを使用します。この新しい環境では、コースのラボに取り組んでいる間、教材を表示しておくために、2台目のモニターやタブレット端末があると便利です。

ノートPCの仕様についてご質問がある場合は、カスタマーサービスまでお問い合わせください。

FOR528 コース概要

ランサムウェアやサイバー恐喝による攻撃の報告件数は、年々増加の一途をたどっています。こうした攻撃は、業務の停止や機密データの流出を招くだけでなく、システムが停止している最中に組織として極めて重要な決断を迫る事態を引き起こします。セキュリティチームには、攻撃者がどのように侵入したか、どのシステムが影響を受けたか、データが盗まれたかどうか、そして復旧に向けて環境が本当に安全かどうかを迅速に判断することが求められます。

「FOR528: Ransomware and Cyber Extortion」コースは、インシデント対応担当者がこうした状況に自信を持って対処できるよう、全面的に刷新されました。この効率化された3日間のコースでは、実際のインシデントで見られる攻撃者の手口、フォレンジック・アーティファクト、調査ワークフローをそのまま使用し、ランサムウェアやサイバー恐喝の現実的な事例を調査する実践的なハンズオン演習を行います。

多くの組織が実際のインシデント対応を通じて痛感するのは、従来のインシデント対応トレーニングだけでは、現代のランサムウェアやサイバー恐喝攻撃が持つスピード、プレッシャー、複雑さに対処する準備が不十分だということです。そこで真価を発揮するのがFOR528です。受講者は、攻撃者がどのように侵入し、永続性を確保し、ラテラルムーブメントを行い、データを窃取し、ランサムウェアを展開し、恐喝の過程で被害者に圧力をかけるのかを学びます。講義に多くの時間を費やすのではなく、現実的なラボ演習やガイド付きの分析を通じて、攻撃の調査に積極的に取り組みます。コースの約50%がハンズオン形式の調査に充てられており、実環境ですぐに活用できるランサムウェア・インシデント対応およびフォレンジック調査の実践的なスキルを習得できます。

また、本コースには、ライブ形式の講義終了後も継続して演習を行える「エクステンデッド・アクセスCTF（キャプチャー・ザ・フラッグ）」が含まれており、現実的なランサムウェア対応シナリオを通じて調査スキルをさらに強化できます。ラボやケーススタディは最新の内容に更新されており、2024～2025年のランサムウェア攻撃の手口、現代の恐喝戦術、そしてランサムウェアグループによるAI活用技術の拡大といった動向を反映しています。

コース修了時には、ランサムウェア・インシデントの調査、攻撃者活動の特定、アクセスまたは窃取された可能性のあるデータの特定、復旧作業の妥当性確認、そして極度のプレッシャーがかかるセキュリティ事案における組織の支援を行うための準備が整います。

FOR528では、初期侵入から組織の復旧に至るまで、ランサムウェアおよび恐喝攻撃のライフサイクル全体にわたる演習を行います。ランサムウェア活動の防止、検知、対応、および脅威ハンティングの手法を学び、難読化されたスクリプトや攻撃者ツールの分析、窃取された可能性のあるデータの特定、そして自信を持って復旧作業の妥当性を確認する方法を習得します。さらに重要な点として、フォレンジック調査の結果が、経営層とのコミュニケーション、チーム間の連携、攻撃後のシステムへの信頼回復といった、ビジネス上極めて重要なアクションにどのように直結するのかを理解することができます。この3日間のコースは、内容の深さを維持しつつ、より効果的な学習体験を提供できるよう全面的に刷新されました。受講者は学習時間の約半分を、10回のクラス内ラボ、2回のボーナスラボ、そして長期間アクセス可能なCTF（キャプチャ・ザ・フラッグ）演習を通じた実践的な調査に費やします。CTFは廃止されるのではなく、より柔軟な形式で提供されるため、受講者は自身の集中力が高いタイミングで調査に取り組むことが可能です。実践トレーニングでは、可能な限り無償またはオープンソースのツールを使用します。そのため、受講者は高価な商用製品を導入することなく、学んだ内容を即座に業務へ活用できる状態で現場に戻ることができます。コース終了時には、ランサムウェアや恐喝行為を識別できるだけでなく、経験豊富なインシデントレスポンダーに求められる迅速さ、自信、そして正確さをもって対応できるようになります。

ランサムウェアおよびサイバー恐喝コースのトピック

ランサムウェアと恐喝の歴史やエコシステム（Human-Operated Ransomware：HumOR、Ransomware-as-a-Service：RaaS、暗号化を伴わないサイバー恐喝など）について学びます。
各トピックに関連する予防、検知、および対応手法を習得します。
収集すべきフォレンジック・アーティファクト（証拠データ）を特定し、それらの解析（パース）方法を学び、解析結果を詳細に分析するスキルを磨きます。
典型的なランサムウェア・キャンペーンの全ライフサイクルを調査します。これには、初期侵入、実行、防御回避、永続化、C2（Command and Control）、権限昇格、認証情報へのアクセス、ラテラルムーブメント、Active Directoryへの攻撃、データへのアクセスと収集、データ持ち出し、ペイロードの展開、暗号化、そしてAIを活用した攻撃者の手口（トレードクラフト）などが含まれます。
暗号化を伴う攻撃と恐喝のみを行う攻撃の双方において、攻撃者がどのようにデータを収集、ステージング（一時保管）、および持ち出し（エクスフィルトレーション）を行うかを検証します。
スクリプトの難読化解除やその解析、関連するTTP（戦術・技術・手順）やIOC（侵害指標）の特定といったマルウェア分析を通じて、攻撃者が使用するツールを詳細に分析します。
流出したソースコードのレビューを通じて、ランサムウェアの暗号化ペイロードの内部構造や暗号化の仕組みを学びます。
ランサムウェアによる危機的状況において、インシデントの範囲特定、復旧の検証、そしてIT部門・法務部門・経営層との連携・調整を行う方法を学びます。
実際の事例に基づいた実践的なラボ演習や、ランサムウェア・インシデントの全過程をシミュレートするCTF演習を通じて、スキルを実践的に活用します。

受講対象者

ランサムウェアやサイバー恐喝の歴史、防御戦略、早期検知手法、脅威ハンティング、そして実践的なラボ形式のインシデント対応トレーニングを網羅した本コースは、以下のような役割や対象者に最適です。

技術・セキュリティ実務者

ITプロフェッショナル：企業環境の維持・セキュリティ確保を担い、ランサムウェアやサイバー恐喝の脅威に対する防御・検知・対応能力の強化を目指すITスタッフやエンジニア
サイバーセキュリティ・プロフェッショナル：ランサムウェアやサイバー恐喝インシデントに関連するフォレンジック・アーティファクトの特定、収集、解析、分析スキルの向上を目指す実務者
DFIRプロフェッショナル：Windows環境への侵入について、高度かつ技術的な知見を必要とするインシデント対応担当者やフォレンジック・アナリスト
SOCアナリストおよびインシデント・トリアージ担当者：不審な活動の調査や、ランサムウェア関連の疑いがある活動のエスカレーション判断を行うSOCアナリスト、CSIRT/CERTメンバー、アラート・トリアージ・チーム
脅威ハンター：テレメトリやフォレンジック証拠を活用し、企業やクライアントの環境内でランサムウェアやサイバー恐喝の活動を能動的に特定することに注力するセキュリティチームや個人
MSPおよびMSSPのアナリスト：複数の顧客環境を支援し、多様なインフラストラクチャにわたるランサムウェアの検知、調査、対応をサポートするアナリスト

法務、調査、およびアドバイザリー職

法執行機関職員、連邦捜査官、および捜査担当者：ランサムウェアやサイバー恐喝の捜査に携わり、攻撃者の手法やデジタル証拠分析に関する高度な技術的専門知識の習得を目指す実務者
サイバー保険およびインシデント対応コンサルタント：侵害対応、保険金請求分析、または経営層への助言を支援する専門家。ランサムウェアの攻撃活動やフォレンジック・タイムラインを技術的に理解することで業務に役立てる方々
法務およびeディスカバリーの専門家：侵害対応、調査、訴訟を支援する法務実務者やコンサルタント。ランサムウェア・インシデントやフォレンジック証拠に関する基礎的な技術的知見を必要とする方々

リーダーシップ、リスク、およびガバナンス担当者

ITおよびセキュリティ・マネージャー／技術リーダー：ITおよびセキュリティ運用を統括する、技術的知見を持つマネージャーやチームリーダー。ランサムウェア対応のワークフロー、チームの役割分担、および重大インシデント発生時の意思決定ポイントについて実践的な理解を必要とする方々
リスク管理、GRC、およびコンプライアンスの専門家：リスク評価、規制遵守、内部統制を担うチーム。ランサムウェアの攻撃経路、検知のギャップ、対応上の課題について現実的な理解を必要とする方々、業界・セクター別の対象者
高リスク業界のIT・セキュリティ担当者：ランサムウェアやサイバー恐喝を行う攻撃者から継続的に標的とされているセクターの従事者（2025年を通じて標的とされる頻度が高い順に以下の通りですが、これらに限定されません）：
- 建設、ITサービス、法務サービス、医療・ヘルスケア、不動産、金融サービス、製造、政府機関、ソフトウェア開発、および輸送・サプライチェーン

キャリア開発および一般的な関心層

DFIRや脅威ハンティングの職務への転身を目指す専門家：インシデント対応、デジタルフォレンジック、脅威ハンティングの分野への移行を検討しており、実際のランサムウェア事案を想定したシナリオで実践的な経験を積みたいと考えている方
ランサムウェアとサイバー恐喝について、深く実践的な理解を求めている方：現実的なラボ環境や演習を通じて、予防、早期検知、および実践的なインシデント対応に関心を持つ技術系専門家や意欲的な学習者

シラバス

DAY1
DAY2
DAY3
CTF

ランサムウェア・インシデント対応の基礎

セクション1では、まずランサムウェアの歴史を振り返り、こうした脅威に関連する役割、プロセス、通信手段、および活動について詳細に掘り下げます。インシデント対応の手法をどのように適用できるかを学んだ後、ランサムウェア・キャンペーンの分析に最適な、Windows環境のフォレンジック・アーティファクトの詳細な分析へと進みます。

取り上げられるトピック

ランサムウェアの進化と歴史
インシデント対応プロセスとランサムウェアへの適用
ランサムウェアおよびサイバー恐喝への備えと範囲の特定
Windowsフォレンジック・アーティファクトと収集
Timesketchによる大規模分析

ラボ

ラボ 1.1: RaaSエコシステム（RAASNet）の分析 - ランサムウェアの生成とテスト
ラボ 1.2: アーティファクトの取得と分析
ラボ 1.3: 大規模分析：Timesketch

概要

「Ransomware and Cyber Extortion」コースは、ランサムウェアの歴史を振り返ることから始まります。最初のランサムウェア攻撃の事例から、現在私たちの業界に迫る脅威に至るまでを順を追って解説します。HumOR（Human-Operated Ransomware：人手によるランサムウェア攻撃）やRaaS（Ransomware-as-a-Service：サービスとしてのランサムウェア）の登場により、私たちの生活や生計は日々脅威にさらされています。こうした脅威に関連する役割、プロセス、通信手段、活動内容を詳細に掘り下げることで、ランサムウェアへの理解を深めていきます。

続いて、事前の備えに加え、暗号化が迫っている場合、現在進行形で暗号化されている場合、あるいは暗号化された直後の状況において、どのような対応をとるべきかを学びます。連絡すべき相手や関与させるべき部署、整備すべきプロセスなど、実行すべきアクションを、特に「時間的制約」に重点を置いて解説します。一刻を争う事態だからです。

直面している真の脅威や一般的なインシデント対応の実践方法を学んだ後は、ランサムウェア攻撃キャンペーンの分析に最適な、Windows環境のフォレンジック・アーティファクトについて深く掘り下げていきます。収集すべきアーティファクトや、それらの取得・解析に最適なツールと手法を習得します。組織の備えのレベルにかかわらず、分析に役立つデータを取得するために何ができるかについても解説します。

単一の端末から直接データを取得する実践的な手法を学んだ後、大規模な環境での取得・解析へと移行します。詳細なハンズオン・ラボを通じて、各環境タイプに応じた分析手法を体験します。TimeSketchを使用して解析済みアーティファクトを分析し、迅速に成果を得られる手法から高度な分析手法までを習得することで、ランサムウェアの脅威に対して組織として適切に対応できるようになります。

ラボの詳細

FOR528用のカスタマイズされたWindowsおよびSIFT仮想マシン（VM）をインストールし、詳細なログの確認やマルウェア解析に必要な設定を行います。
ラボ1.1：ランサムウェアの「ビルダー」を使用して、カスタマイズされたランサムウェアの暗号化ペイロードと復号ツールを生成します。生成したランサムウェアのペイロードを実行してファイルを暗号化し、その内容を確認した後、復号ツールを使用してデータを復元します。
ラボ1.2：侵害された環境から収集されたフォレンジック・アーティファクトを調査し、Kroll Artifact Parser and Extractor (KAPE) を使用してデータを解析します。Timeline Explorerを活用し、KAPEで解析されたデータを確認します。その際、MFT（Master File Table）、SRUM、Shellbags、Shimcache、およびWindowsイベントログのアーティファクトに重点を置きます。
ラボ1.3：TimeSketchインターフェース上でデータを調査・分析します。前述のラボで行った手動解析から、より大規模なデータセットを対象とした解析へと移行する際、MFT、SRUM、Shellbags、Shimcache、Windowsイベントログの解析手法がどのように拡張・適用されるかに注目します。

トピックの詳細

コース用仮想マシン（VM）
- 概要とセットアップ
カスタム攻撃シナリオの概要（ラボおよびCTFはこれらの攻撃に基づいています）
- 「Samaran Protect」被害者環境に対する2つの異なる攻撃シナリオ
- シナリオ1：「BlueLocker」ランサムウェアグループ
  - 可視性の低いデフォルトのWindows環境を模した被害者ネットワーク
- シナリオ2：「Balrog」ランサムウェアグループ
  - より高度なツールが導入された環境を想定し、可視性を高めた（EDRのようなテレメトリが導入されている等）被害者ネットワーク
ランサムウェアの進化と歴史
- 世界初のランサムウェア攻撃
- 完全自動化されたランサムウェア：「Locker」型および単一マシンを暗号化するペイロード
- 人為的介入型ランサムウェア（HumOR）の登場
Ransomware-as-a-Service（RaaS）
- RaaSモデル、階層構造、および役割
- RaaSビルダーとジェネレーター
- RaaSダッシュボード
ランサムウェア・オペレーター
- グループの経時的な進化
- 恐喝の手法
- データ漏洩サイトと心理的圧力
- ダークウェブ・フォーラムでのやり取り
- 被害者情報の売買
- アフィリエイト・プログラム
ランサムウェアへのインシデント対応
- 実績のあるPICERLモデル（準備、特定、封じ込め、駆除、復旧、教訓）
- 新しいDAIRモデル（インシデント対応への動的アプローチ）
- 典型的なランサムウェア攻撃キャンペーンの全フェーズ
ランサムウェアにおけるAIの活用
- AIが積極的に利用され始めた兆候
- AIを用いたフィッシングおよびソーシャルエンジニアリング
- 世界初のAI搭載ランサムウェア
- ランサムウェア攻撃キャンペーン全体でのAI利用が実際に確認された事例
- AI防御ツールの例：「AI-Powered Ransomware Intelligence Agent」
進行中の脅威への対応
- 時間的制約の考慮
- インフォームド・コンセント
- 関与が必要な部門と役割
- ランサムノートの理解
- スコープ設定の考慮事項（把握・収集すべき情報）
- 重要サービスおよび機能の保護
- 「Going dark」（インターネット接続の遮断）
- 今すぐすべきことと後回しにできること
ランムウェアの身代金支払い
- 支払いに関する懸念点（デメリット）
- 支払いに関する利点（メリット）
- 脅威アクターとのやり取りおよび交渉のヒント
フォレンジック・アーティファクトの収集
- ランサムウェアに特に関連性の高いフォレンジック・アーティファクトサイバー恐喝に関する分析
- フォレンジック・アーティファクトの収集
- KAPEを使用した収集済みアーティファクトの処理・解析
- 解析されたアーティファクトの出力を確とフォレンジックデータの解析に用いられたツールや手法について理解
大規模な分析
- Velociraptorを使用した一括収集
- 可視性を高めるためのログ拡張
- 収集対象となるログおよびログ・アーティファクト
- ログ集約ツール／SIEMおよびフィールド・スキーマ
TimeSketchによる大規模分析

ランサムウェアの攻撃手法

セクション2では、ランサムウェアやサイバー恐喝攻撃の典型的な攻撃フローについて解説します。まず「初期アクセス」から始め、続いて「ツールと実行」の段階へと進みます。その後、攻撃の持続性を確保する手法や、Cobalt Strikeの概要について取り上げます。セクション2のラボ演習はマルウェア解析に重点を置いており、スクリプトの難読化解除のプロセスも組み込まれています。

取り上げられるトピック

Kibanaを使用した大規模な分析
ランサムウェアにおける一般的な初期アクセス手法
攻撃者が使用するツールと実行手法
パーシスタンスとCobalt Strike
悪意あるスクリプトの難読化解除を含むマルウェア解析

ラボ

ラボ 2.1：大規模分析：Kibana
ラボ 2.2：感染経路の特定とエンコードされたPowerShellペイロードの解析
ラボ 2.3：PowerShellスクリプト：脅威としてのPowerShell（CSペイロードのデコードと解析）
ラボ 2.4：Cobalt Strikeペイロードのデコード
ボーナス・ラボ 2.5：RDPアクティビティのハンティング

概要

ランサムウェアのインシデントは、決して珍しいものではありません。私たちインシデントレスポンダーは、同じ戦術・技術・手順（TTP）を繰り返し目にしています。そこで、これらを検知する方法を学んでいきましょう。

セクション2は、Kibana（ランサムウェアやサイバー恐喝の調査に役立つ、ログ集約・可視化のためのGUIツール）を使ったハンズオンラボから始まります。続いて、アーティファクトの分析から、ランサムウェア攻撃キャンペーンの初期段階へと話を進めます。具体的には、「初期アクセス（Initial Access）」、「実行（Execution）」、「防御回避（Defense Evasion）」、そしてスクリプトエンジンの悪用について解説します。ランサムウェア攻撃の多くでは、PowerShell、バッチスクリプト、JavaScript、VBScriptなどのスクリプトエンジンが悪用されています。

次に、頻繁に遭遇する様々なツールやスクリプトについて取り上げ、それぞれのツールの概要に加え、脅威ハンティングや検知に役立つ詳細情報も紹介します。続いて、「永続化（Persistence）」に関するモジュールへと移ります。ここでは、攻撃者が環境へのアクセスを維持するために利用する、一般的なポストエクスプロイト用フレームワーク、C2（指令・制御）メカニズム、RMM（リモート監視・管理）ソリューション、そしてWindows標準機能について学びます。

その後、Cobalt Strike（CS）についての詳細な解説を行います。これは攻撃者の挙動を模倣・シミュレーションするツールですが、その機能があまりに強力（ある意味「優秀すぎる」）なことで知られています。

本トレーニングの多くの場面で、分析手順を段階的に学べるハンズオンラボを取り入れています。経験豊富な方はもちろん、インシデントレスポンスの分野に入ったばかりの方でも、ランサムウェアやサイバー恐喝のインシデント対応を最初から最後まで完遂できるようになることを目指しています。

ラボの詳細

Lab 2.1: これまでのラボで習得したスキルを活かしつつ、Elasticsearch、Logstash、Kibana（ELK）スタックに関連する最も一般的なインターフェースの仕組みや使い方を学びます。
Lab 2.2: Microsoft Officeアプリケーションを親プロセスとする動作、Windows標準機能で開かれたZIPファイル、ZIPファイル内の認証情報読み取り操作、Outlookによるファイルのダウンロードや実行、Microsoft Trust Centerの確認といった観点から、フィッシング攻撃の成功事例を特定します。
Lab 2.3: エンコードや難読化が施されたPowerShellペイロードの分析方法を学びます。
Lab 2.4: PowerShellシェルコードインジェクターや「ステージレス」なBeaconのEXE/DLLローダーを含む、Cobalt Strikeのペイロードをデコードおよび分析します。
【ボーナス】Lab 2.5: 悪意のあるRDPアクティビティをハンティングし、初期感染経路や内部でのラテラルムーブメントを特定します。

トピックの詳細

Kibanaを使用した大規模な分析
セクション2で取り上げるランサムウェア攻撃キャンペーンの各フェーズ：
- 初期アクセス
- 実行
- 防御回避
- 永続化

以下のセクションでは、検出およびハンティングのためのツール、プロセス、手法について詳細に解説します。

初期アクセス
- Clickfixの防止、検出、ハンティング
- MS Teamsを悪用した初期アクセスの防止、検出、ハンティング
- 主要な初期アクセス手法トップ3：リモートアクセス、ソーシャルエンジニアリング、ソフトウェアの脆弱性
フィッシングに関するトピック：
- マルウェア感染と認証情報窃取（クレデンシャル・ハーベスティング）の比較
- AiTMフレームワーク
- MalDocなどの悪意ある添付ファイル
- 推奨されるメールゲートウェイのファイルブロックリスト
- 悪意あるリンクとその分析方法
初期アクセスにおけるRDP（リモートデスクトッププロトコル）の利用
- RDPが脅威となる理由
- RDP分析に役立つWindowsイベントログ
- 悪意あるRDPアクティビティの特定
ソフトウェアの脆弱性に関するトピック：
- ゼロデイ脆弱性とCVE（共通脆弱性識別子）の比較
- 実際に悪用されているCVEの例
- コンテキスト分析によるソフトウェア悪用の特定
脅威アクターのツールと実行手法
- 持ち込みツール（BYOT）
- Ransomware Tool Matrix project
- ネイティブな実行手法（例：悪用されるLOLBINトップ10）
防御回避
- 一般的なバイパスツール
- EDRキラーおよびサイレンサー（EDR無効化ツール）
- 回避のためのLOLBAS手法
- WMI攻撃の防止と検出
- スクリプトエンジンの悪用
- PowerShellスクリプトのログ記録と分析
- バッチスクリプト
- JavaScriptスクリプト
- VBScript
- PowerShellのログ記録と高度な分析
永続化
- 一般的なC2手法
- RMMツール
- エクスプロイト後のフレームワーク
- アカウント作成
- ブート/ログオン時の自動起動設定箇所
- サービスのインストール
- タスクスケジューラ
- WMIイベントサブスクリプション
Cobalt Strike (CS)
- 脅威アクターによるアクセスと利用
- CSのアーキテクチャとコンポーネント
コマンドとチートシート
検出手法
ペイロードのデコードツールと手法

ランサムウェアに関する高度な概念

セクション3では、一般的なランサムウェア攻撃やサイバー恐喝攻撃の各段階について、引き続き詳細な解説を行います。本セクションでは、「権限昇格（Privilege Escalation）」、「認証情報へのアクセス（Credential Access）」、「ラテラルムーブメント（Lateral Movement）」を取り上げ、それらに関連するツールや手法を詳述します。続いて、Active Directoryを標的とした一般的な攻撃手法を扱い、最終的にランサムウェアのペイロード展開と分析へと進みます。

取り上げられるトピック

権限昇格とラテラルムーブメント
ランサムウェア攻撃におけるActive Directoryへの攻撃
データへのアクセスとデータの持ち出し
ランサムウェア攻撃者のハンティング

ラボ

ラボ 3.1：RDPおよびPsExecを使用したラテラルムーブメントの特定
ラボ 3.2：データアクセスおよびデータ持ち出しの兆候の追跡と特定
ラボ 3.3：攻撃者のツールセットの検知（ハンティングに重点を置いた実習）
ボーナス・ラボ 3.4：追加のラテラルムーブメントの特定

概要

セクション3は、「権限昇格」、「認証情報へのアクセス」、そして「ラテラルムーブメント」から始まります。ランサムウェア攻撃者は、マシン上で権限を昇格させるためにどのようなツールを使用するのでしょうか？また、Windowsホストに保存された認証情報にはどのようにアクセスするのでしょうか。どのようなプロセスが、なぜ、そしてどのようにしてダンプされるのでしょうか。ラテラルムーブメントについては、RDP、SMB、WinRMなどの手法が、被害を受けたネットワーク内を移動するためにどのように悪用されるかを学びます。

次に、MicrosoftのActive Directory（AD）に対する攻撃に焦点を当てます。ランサムウェア攻撃者はADを標的にすることを好みます。そこで、不適切なAD設定を悪用して権限を昇格させたり、認証情報にアクセスしたりする様々な手口を詳しく解説します。ADの列挙に加え、Kerberoasting、AS-REP Roasting、DCSyncといった攻撃手法について、その仕組みや、それらを防ぎ検知する方法を学びます。

攻撃ライフサイクルの解説を続け、本コースの最も重要なセクションの一つである「データへのアクセス」と「データの持ち出し」へと進みます。組織は通常、どのようなデータがアクセスされたか、あるいは盗まれたかを知りたいと考えます。特に法務部門や経営層が関与する場合には、その傾向が強まります。ここでは、データのアーカイブやステージングの手法に加え、こうした活動を支援するツールを特定する方法も取り上げます。FTPやSFTPが一般的なデータ持ち出し経路として使われていることをご存知でしょうか？どのようなデータが持ち出されているか不明な場合でも、持ち出しの動きを効果的に検知するにはどうすればよいのでしょうか。また、データ持ち出しを未然に防ぐにはどうすればよいのでしょうか？その方法を具体的に解説します。

続いて、ランサムウェア攻撃の最終段階である「ペイロードの展開」と「暗号化の内部メカニズム」へと進みます。バックアップや復旧機能への改ざん、そしてランサムウェア攻撃者がバックアップシステムを攻撃する手法について学びます。攻撃者が痕跡を隠滅する手口は一見単純に見えるかもしれませんが、中には非常に巧妙なものもあります。このセクションの最後には、最も一般的なペイロード展開手法に関する技術的な詳細を解説します。

最後に、ハンティング手法について取り上げます。これには、リネームされた実行ファイルの特定や、ランサムウェア攻撃者が頻繁に使用するディレクトリの分析による悪意あるファイルやプロセスの発見などが含まれます。ここでは、組織を監視し守るための最善の方法を提示します。

ラボの詳細

ラボ 3.1: RDPやPsExecなどの仕組みを利用したラテラルムーブメントを特定する。
ラボ 3.2: NTFSメタデータ（NTFS、UsnJrnlなど）の解析・分析や、Timeline Explorer、TimeSketch、Kibanaといった分析ツールの活用を通じて、データへのアクセスや潜在的なデータ持ち出しの痕跡を探索・特定する。
ラボ 3.3: 名称変更されたツールの検知や一般的なステージング用ディレクトリへの着目など、ハンティング手法を用いて脅威アクターのツールセットを検知する。
ボーナスラボ 3.4: WMIやCobalt Strikeなどを用いた、さらなるラテラルムーブメントを特定する。

トピックの詳細

セクション3で扱うランサムウェア攻撃キャンペーンの各段階：
- 権限昇格
- 認証情報へのアクセス
- ラテラルムーブメント（横展開）
- ADへの攻撃
- データへのアクセス
- エクスフィルトレーション
- ペイロードの展開
権限昇格と認証情報へのアクセス
- 標的となりやすいアカウント
- アカウントを標的とする手法
- ユーザーアカウント制御（UAC）のバイパス手法
- Local Security Authority Server Service （LSASS）へのアクセスとダンプ
- NTDS.ditへの攻撃
- 代替認証情報を利用した攻撃
- ブラウザやパスワード管理ツールに保存されたパスワードへの攻撃
- セッションスニファーおよび抽出ツール
- よく見られるオールインワン型ツール（例：WinPwn）
ラテラルムーブメント
- RDPおよびRDPキャッシュビットマップの分析
- Server Message Block （SMB）によるラテラルムーブメント
- 名前付きパイプ（Named pipe）の利用とサービスインストールとの関連
- Sysinternals PsExec
- Windowsリモート管理（WinRM）
- ESXiへの攻撃と防御のヒント・手法
ADへの攻撃
- ADの列挙
- BloodHoundおよびSharpHound
- Kerberoasting
- AS-REP Roasting
- DCSync攻撃
- Golden Ticket攻撃
データへのアクセス
- 報告および法的な考慮事項
- ネットワーク共有の列挙とアクセス
- 削除済みファイルおよびファイルに関する情報
- ファイルとフォルダへのアクセス
- レジストリ分析
- ツール固有の分析
データの持ち出し
- アーカイブの作成
- データステージング
- .txtおよび.csvファイルの作成と利用
- データ持ち出し経路
- ネットワークログおよびNetFlowの確認
バックアップと復旧機能の改ざん
- ボリュームシャドウコピーサービス（VSS）への攻撃
- ブート構成データ（BCD）、Windowsブート状態ポリシー、およびWindowsバックアップへの攻撃
- イベントログの消去
ペイロードの展開
- 一般的な展開ツールと手法
- PsExecによる展開
- WMIC（Windows Management Instrumentation Command-line）による展開
- BITS（Background Intelligent Transfer Service）による展開
暗号化と復号ツール
- 暗号化キーの種類
- 上書き方式とコピー・削除方式の暗号化手法
- ランサムノート
- 暗号化メカニズムのソースコード分析
- 復号ツール
ランサムウェア攻撃者のハンティング - 特定の手法
- 悪意あるRDP接続
- プロセス名とパスの異常
- 不正・悪意ある実行ファイル
- PowerShellのエンコードされたコマンド
- ウイルス対策ソフトのログに見られる悪意ある活動
- 環境変数に関連する悪意ある活動

ランサムウェア・インシデント対応チャレンジ（CTF：期間延長アクセス付き）

付属の「拡張アクセス型CTF」では、インストラクター主導の3日間の講義を終えた後、受講者は実践的なランサムウェア調査シナリオに取り組むことができます。これにより、柔軟性と集中力を維持しつつ、コースで学んだスキルを定着させることが可能です。

取り上げられるトピック

長期間アクセス可能な環境でのデジタルフォレンジックキャプチャ・ザ・フラッグイベント
解析済みアーティファクトおよびログデータの確認
ランサムウェア攻撃キャンペーンのエンドツーエンドにおけるツールとプロセスの特定

概要

ランサムウェア攻撃への対応能力を磨くには、実践的な調査経験が不可欠です。組織内で実際に危機が発生する中で経験を積むことは避けたいものです。そこで、FOR528では、感染経路からペイロードの展開、暗号化に至るまで、ランサムウェア攻撃を分析する拡張アクセスCTFチャレンジを用意しました。このシナリオは、受講者が現場で遭遇する可能性のある環境を再現するために設計された、現実的な被害組織「Samaran Protect」をモデルにしています。

このCTFチャレンジでは、被害組織に対する特別に作成された攻撃シナリオを使用します。受講者は、解析されたフォレンジックデータとログデータを分析し、実際のランサムウェア攻撃やサイバー恐喝事件で組織が直面するのと同じ疑問に答えていきます。

ラボの詳細

あらゆるランサムウェアインシデントで共通して問われる疑問を解明するため、現実的なシナリオに基づき、解析されたフォレンジック・アーティファクトやログを詳細に分析します。
SANSのranges.ioプラットフォームを活用します。

トピックの詳細

長期アクセス型デジタルフォレンジックキャプチャ・ザ・フラッグイベント
- シナリオ1で収集されたデータについて、解析済みのアーティファクトやログデータを検証
Windowsイベントログ、Sysmonデータ、プログラム実行のアーティファクト、レジストリハイブファイルなどを詳細に調査
初期感染経路から、暗号化ペイロードの展開・実行に至るまでの攻撃者の行動を追跡
各攻撃キャンペーンの主要なフェーズで使用されたツール、スクリプト、戦術、プロセスを特定
ランサムウェア被害発生後にあらゆる組織が把握すべき以下の問いに回答：
- 攻撃者はどのようにしてネットワークに侵入したか
- 攻撃者はどのようなデータにアクセスできたか
- 攻撃者はデータを外部へ持ち出すことができたか
- 暗号化ペイロードそのものを含め、一連の攻撃キャンペーンによってどのシステムが影響を受けたか
- その他多数

NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。