プロアクティブな検知と対応
セクション1では、早期検知、迅速な対応、そしてインシデント対応チームの効果的な管理を通じた、プロアクティブ（能動的）なサイバー防御に焦点を当てます。ハニーポットやカナリアといった能動的防御（アクティブ・ディフェンス）の戦術に加え、Aurora、Velociraptor、Timesketchなどのツールを活用した効率的なインシデント対応についても扱います。
取り上げられるトピック
- エンタープライズにおけるインシデント対応と脅威ハンティング
- 大規模なインシデント対応の管理
- 迅速な対応のためのトリアージと証拠処理
- Timesketchによるスケーラブルかつ共同作業可能な分析
ラボ
-
能動的検知のためのハニートークンの作成
-
Stark Research Labs（クライアント企業）の概要把握
-
Velociraptorを使用したフォレンジック・トリアージ用イメージの取得
-
Timesketchを使用した侵害の疑いがある事案の分析
概要
FOR608: Enterprise-Class Incident Response & Threat Huntingコースは、現在のサイバー防御における懸念事項や、インシデントレスポンダーおよび脅威ハンターがいかにして検知・対応においてより能動的な役割を果たせるかという議論から始まります。MITRE ATT&CK®フレームワークなどの情報源から得られる共有知識を取り入れつつ、チーム内およびコミュニティ間での連携に重点を置きます。さらに、攻撃者の動きを遅らせ、検知を容易にするための「アクティブ・ディフェンス（能動的防御）」アプローチについても議論します。特に能動的な検知に関しては、ハニーポット、ハニートークン、カナリアの活用法や、それらを状況に応じて適切に展開する方法を扱います。ネットワーク内に設置されたこうした「トリップワイヤー」は、防御側やレスポンダーに対し、侵入を迅速に発見・対応するために必要な可視性をもたらします。
残念ながら避けられない現実として侵害が発生してしまった場合に備え、侵入に効率よく対処するためのプロセスや技術についても議論を深めます。対応の主導、チームメンバーの管理、リソース制約の評価、調査結果の記録、ステークホルダーとのコミュニケーションといった概念を詳細に解説します。また、初期検知からスコープ（影響範囲）の特定、封じ込め、インジケーター（侵害の痕跡）の作成、そして修復に至るまで、調査の各段階を追跡するための専用ツール「Aurora」も紹介します。
続いて、架空の企業「Stark Research Labs」で発生したアラートを起点として、潜在的な攻撃の調査を進めるシナリオを検討します。このような状況下で、大規模かつ標的を絞ったデータ収集を行うための迅速な対応策を提示します。特に、スタンドアロン型のトリアージ・イメージング・ツールとして、KAPEとVelociraptorを取り上げます。Velociraptorは、常時稼働するクライアント・サーバー構成で導入できるほか、スタンドアロンのコレクターとしても利用可能です。いずれの構成においても、攻撃者の活動状況を追跡するために重要なアーティファクト（証拠データ）を収集する方法を実演します。収集したデータを迅速に後処理（ポストプロセス）して分析に回すことも、重要な要素の一つです。収集したアーティファクト・ファイルを素早く処理し、TimesketchやElasticsearchでの分析や、個別のアーティファクト確認に利用するためのソリューションを提示します。
セクション1の締めくくりとして、Stark Research Labsの侵害の疑いがあるホストについて、より詳細な調査を行います。社内担当者が収集したトリアージ・データはタイムライン形式に処理され、GoogleのIRチームが開発したツール「Timesketch」にインポートされます。ここでは、フォレンジック・データを大規模かつ共同で分析するための強力なプラットフォームとしてTimesketchを活用します。
トピックの詳細
インシデント対応と分析のスケール化
セクション2では、脅威インテリジェンスの概念、EDR技術とEDR回避手法、インシデント対応（IR）および脅威ハンティングのためのVelociraptorの導入、そしてアドホックな状況におけるElasticsearchを用いた高速フォレンジックの戦術的活用について解説します。最後に、MCPサーバー、エージェント型AI、AIに対する攻撃ベクトルなど、DFIR（デジタルフォレンジックおよびインシデント対応）へのAI統合について論じます。
取り上げられるトピック
ラボ
概要
セクション2では、まず脅威インテリジェンスの主要な概念（社内での脅威インテリジェンスの構築・実装など）を検討することから始めます。共有脅威インテリジェンスの一般的な情報源として、MITRE ATT&CK® Matrixなどの外部プロジェクトについても取り上げます。また、脅威インテリジェンスの取り込み、追跡、共有を行うための包括的なプラットフォームであるMISPとOpenCTIについても解説します。
続いて、セクション2は「対応（レスポンス）」のフェーズへと移行します。事例として取り上げる企業「Stark Research Labs（SRL）」への侵入の可能性を調査し、その影響範囲を特定（スコープ）するために、大規模な証拠収集を開始します。SRLにはEDR（Endpoint Detection and Response）ツールが導入されており、そのデータを活用して調査範囲の特定を行います。しかし、攻撃者がEDR技術を回避したり無効化したりすることもあるため、一般的な回避手法についても説明します。これにより、受講者はEDRの限界を理解するとともに、EDRのログデータから異常なアクティビティを特定するスキルを習得します。
一般的なログに記録されるアーティファクトの分析にとどまらず、大規模なインシデントレスポンスや脅威ハンティングのための強力なプラットフォームとして、オープンソースツール「Velociraptor」を紹介します。Velociraptorは、企業全体からフォレンジック・アーティファクトを収集することに長けているだけでなく、特定のホストを詳細に調査するためのツールとしても機能します。さまざまな状況やOS、アーキテクチャに対応できる柔軟なツールとしてのVelociraptorの有用性を示します。
Velociraptorの数ある有用な機能の一つに、収集したデータをElasticsearchに送信（プッシュ）できる点があります。Elasticsearchもまた、レスポンダーのツールキットに加えるべき強力かつ柔軟なツールです。そこで、Velociraptorからのデータに加え、PowerShellベースのIRフレームワーク「Kansa」やツール「Log2timeline」からのデータなど、多様なデータタイプを取り込み、処理する方法について解説します。さらに、ElasticsearchのSQL APIや新しいクエリ言語「ES|QL」を使用して、取り込んだデータに対する高速な検索や集計を行います。ボーナスラボでは、Kibanaでのダッシュボード作成や可視化の手順を学び、Elastic Stackを用いたフォレンジックデータの検索・分析という、より従来型のアプローチも体験します。
セクション2の締めくくりとして、人工知能（AI）とデジタルフォレンジックおよびインシデントレスポンス（DFIR）の関わりについて議論します。特に、調査や学習を支援するためのコンテキスト制御、RAG（検索拡張生成）、カスタマイズされたAIソリューションといった効果的な手法に焦点を当てます。本稿では、Model Context Protocol (MCP) サーバーを介してAIをDFIR（デジタルフォレンジックおよびインシデント対応）ツールに統合する実践的な手法と、調査ワークフローにおけるエージェント型AIの新たな役割について探ります。また、DFIR業務におけるクラウド型およびローカル型のLLM（大規模言語モデル）の導入形態を比較し、それらを企業のDFIR実務に安全かつ正確に組み込むための戦略を論じます。最後に、プロンプトインジェクション攻撃やMCPサーバーの侵害など、AIに対するいくつかの攻撃手法を取り上げます。AIが企業ITに浸透し続ける中、これらの攻撃経路を理解しておくことは極めて重要です。
トピックの詳細
WindowsおよびLinuxを標的とした現代の攻撃とDFIR
セクション3ではホストベースのフォレンジックに焦点を当て、「ファイルレス」マルウェアや「Living off the Land」の手法といったWindowsへの現代的な攻撃を取り上げるとともに、Sigmaルール、Elasticsearch、Hayabusaを用いた検知手法を解説します。続いてLinuxのDFIRへと移行し、エクスプロイト、ファイルシステム、ログ記録、ハードニングについて扱います。これにより、WindowsとLinuxの双方に対する侵害調査のスキルを習得します。
取り上げられるトピック
ラボ
-
Sigmaを用いたLOLBAS活動の検知
-
Hayabusaによるイベントログの迅速な分析
-
Linux Webログの分析
-
Linuxホストのトリアージ
概要
セクション3では、より従来型のホストベースのフォレンジック・アーティファクト分析へと話題を移します。まず、Windowsシステムに対する最新の攻撃手法（頻繁に発生するランサムウェア攻撃を含む）について概観します。ランサムウェア攻撃やその他の標的型攻撃の予兆を調査する一環として、攻撃者が検知を回避するために用いる「Living-off-the-Landp」の手法に重点を置きます。攻撃者は、独自のマルウェアをホストに持ち込むことなく目的を達成するために、OSに組み込まれたバイナリやスクリプト（いわゆる「LOLBAS」：Living-Off-the-Land Binaries and Scripts）を巧みに利用します。現代の多くの侵入事案を調査する上で、これらの手法を事前に検知し、事後に分析するスキルを習得することは極めて重要です。
迅速な検知と対応を可能にするため、Sigmaルールを活用した実用的なサイバー脅威インテリジェンスの利用に焦点を当てます。具体的には、Elasticsearchに取り込まれたログの中から不審なアクティビティを探索するためにSigmaルールを使用します。また、Windowsイベントログを直接検索するために、ツール「Hayabusa」に組み込まれたSigmaルールを活用する演習も行います。これらは、インシデント対応者が大規模な環境下でもより迅速に事案を解決するのに役立つ強力な手法です。
Windowsに対する脅威についての議論に続き、セクション3の後半では、Linuxにおけるインシデント対応と分析を取り上げます。大小を問わず多くの組織が、その環境内にLinuxシステムを運用しています。Linuxへの侵入がニュースで大きく取り上げられることは比較的少ないものの、攻撃者が脆弱なLinuxシステムを悪用して、標的組織内での足場を構築・維持していることは周知の事実です。
FOR608では、Linuxシステムやその設定における一般的な脆弱性について解説し、それらを標的とした攻撃者による典型的な悪用手法を取り上げます。権限昇格、永続化、ラテラルムーブメントといった手法は、Windows環境への攻撃に関連付けられることが多いですが、これらはLinux環境にも同様に当てはまります。
Linuxに関する議論は、Linuxシステムを分析する際のDFIR（デジタルフォレンジックおよびインシデント対応）の基本事項の解説へと続きます。重要でありながら混乱を招きやすいトピックとして、Linuxディストリビューション間の違い、Linuxファイルシステム、LVM（論理ボリュームマネージャ）、主要なログファイルの場所などが挙げられます。ここでは、Linuxシステムの初期トリアージと詳細なフォレンジック分析の両方に対応するための戦略を提示します。予期せぬログイン、不審な新規ファイルや改ざんされたファイル、アプリケーションログにおける異常値の探索などは、悪意ある挙動を特定するために用いられる手法のほんの一部です。最後に、将来の調査に役立つよう、システムのハードニング、ログ設定の強化、監視機能の追加に関するベストプラクティスを紹介して、このセクションを締めくくります。 Linuxへの侵入を調査する能力を習得させることは、FOR608の主要な目標です。本コースを修了することで、受講者は、多様な企業ネットワーク全体に及ぶ大規模な侵入に対処するための、重要かつ新たなスキルや手法を身につけることができます。
トピックの詳細
macOSおよびDockerコンテナの分析
本セクションでは、macOSのインシデントレスポンスについて、そのエコシステム、データ収集、ログ分析、および主要なアーティファクトを含めて解説します。また、コンテナ化された環境についても取り上げ、特にDockerと、現代の企業における調査活動でのその役割に焦点を当てます。
取り上げられるトピック
-
macOSの基礎
-
Appleファイルシステム
-
Macのインシデントレスポンス
-
企業におけるコンテナ
-
コンテナのDFIR
ラボ
-
APFSディスクイメージのマウントと分析
-
macOSのアーティファクトとログの確認
-
Dockerの管理とログ
-
Dockerのトリアージとインシデントレスポンス
概要
本コースのここまでの段階で、受講者はホストベースのデータの収集、攻撃者の「犯行の瞬間」を捉えるためのライブレスポンスツールの展開、そして「ビッグデータ」分析プラットフォームを活用した大規模な不審なアクティビティの特定など、多岐にわたるタスクに取り組んできました。また、Linuxオペレーティングシステムについて深く掘り下げ、それらのシステムに対する避けられない攻撃への重要な対応策も学んできました。
次のモジュールでは、AppleのmacOSオペレーティングシステムの主要な側面について見ていきます。macOSを搭載したホストは、多くの企業ネットワークで普及が進んでいます。そのため、インシデント対応担当者がこうしたシステムへの対応に関する知識やスキルを身につけておくことが重要です。インシデント対応の技術を詳細に学ぶ前に、まずはmacOSおよびAppleモバイルデバイスの歴史と現在のエコシステムについて解説します。続いて、Apple File System (APFS)、ファイルおよびディレクトリ構造、そしてProperty List (plist) 設定ファイルなど、Macの分析において重要なファイルタイプといったトピックを取り上げます。
基礎知識を学んだ後は、macOSインシデントへの対応における課題と機会に目を向けます。ディスクデータやトリアージデータの最適な取得方法、取得したデータの確認方法、不審なアクティビティを特定する上で最も有用なログやその他のアーティファクといった疑問点について、詳細に解説します。
LinuxおよびMacのフォレンジック分析に関する強固な基盤を築いた後、コンテナ化されたマイクロサービスという概念に焦点を移します。コンテナは、アプリケーションやサービスを信頼性が高く再現性のある方法で展開するための一般的な手法です。コンテナのプラットフォームとして最も広く利用されているのがDockerであり、FOR608コースではこのDockerに重点を置いて学習します。
Dockerコンテナのアーキテクチャと管理に関する解説を通じて、受講者は分析においてどこに注目すべきかを理解できるようになります。また、具体的なトリアージのワークフローについても取り上げ、個々のコンテナやコンテナホストに対して迅速かつ効果的な対応を行うための、再現性のあるプロセスをアナリストが習得できるようにします。
トピックの詳細
-
macOSの基礎
-
Apple製オペレーティングシステムの歴史
-
エンタープライズ環境におけるApple
-
Appleのファイルシステム
-
Macにおけるインシデントレスポンス
-
フォレンジック・データ取得時の課題
-
ディスクイメージのマウント方法
-
ユーザーおよびシステム構成のプロファイリング
-
一般的な永続化手法の確認
-
macOSのログ分析
-
エンタープライズ環境におけるコンテナ
-
コンテナの概念概要
-
コンテナと仮想マシンの比較
-
Dockerの概要
-
コンテナに対する攻撃
-
コンテナ環境におけるフォレンジックの課題
-
コンテナのDFIR
クラウドへの攻撃と対応
本セクションでは、Microsoft Azure、M365、AWSにおけるインシデント対応について解説します。クラウド特有の課題やMITRE ATT&CK® Cloud Matrixに焦点を当て、一般的な攻撃シナリオ、重要なログ、GuardDutyなどのツールを取り上げます。最後に、セキュリティアカウント、AMI、LambdaやStep Functionsといった自動化ツールを活用した、クラウド環境での対応戦略について説明します。
取り上げられるトピック
-
クラウドにおけるDFIR
-
AzureおよびM365でのインシデント対応
-
クラウド環境での攻撃者とAWSの基礎知識
-
AWSでのインシデント対応
-
AWSにおけるIRの自動化
ラボ
概要
本セクションでは、MicrosoftおよびAmazonの主要なクラウドプラットフォームにおけるインシデント対応に焦点を当てます。分析対象はこれら特定のプラットフォームですが、ここで扱うログ分析手法、アーキテクチャ設計、自動化の取り組みは、ほぼすべてのクラウドプロバイダーに適用可能です。また、攻撃者がクラウド環境をどのように悪用するか、その際にどのようなアーティファクトが残る可能性があるかについても解説します。
クラウド環境でのインシデント対応には特有の課題がありますが、同時に大きな可能性も秘めています。まずは、こうした要因についての概要から始めます。ここでも、防御や検知の体制を整理する上で、MITRE ATT&CK®フレームワーク（特にCloud Matrix）が有用であることを確認します。
続いて、Microsoft 365 および Azure に移行し、広く利用されているいくつかのSaaS製品について議論します。これには、Exchange、SharePoint、Teamsなどのホスト型サービスを支える基盤となるIDプロバイダーサービス、Entra ID（旧Azure AD）が含まれます。多くの組織がこれらのサービスを導入していますが、当然ながら攻撃者もその実装上の弱点を見つけることに長けてきています。そのため、M365やAzureに対する一般的な攻撃シナリオをいくつか検討します。こうした事案の解決にはログ分析が不可欠であるため、ログの取得と確認方法を重点的に扱います。具体的には、検知の一般的な手法として、統合監査ログ（UAL）から不審なユーザーログオンや電子メールの活動を特定する手順を確認します。Entra IDの監査ログなども有用な情報源となります。
インシデント対応において重要なのが「復旧（Recovery）」フェーズです。これには通常、将来同様の攻撃を検知または防止するためのセキュリティ強化策の実施が含まれます。そこで、M365やEntra IDにおける有用なセキュリティ強化策についても解説します。
本セクションの後半では、Amazon Web Servicesクラウドプラットフォームについて掘り下げます。AWS初心者の方でも理解できるよう、一般的なアーキテクチャやコンポーネントの概要を説明します。その後、インシデント対応担当者にとって検知や分析の重要なデータ源となる、数多くのログやサービスについて詳細に解説します。これには、CloudTrailログ、VPCフローログ、GuardDutyアラートなどが含まれます。
最後に、より迅速かつ効果的な分析を行うための、クラウドにおけるインシデント対応を考慮したアーキテクチャ設計について議論します。これには、AWS内でセキュアな領域を構築するためのセキュリティアカウントの設定などが含まれます。また、ボリュームスナップショット、ネットワークパケットキャプチャ、ログデータに対する分析を行う際には、テンプレートとなるVM（AMI）の利用も推奨されます。最後に、自動化可能な一般的なIRタスクを取り上げ、AWS LambdaとStep Functionsを活用してそれらをシームレスに自動化する方法について解説します。本節で紹介するソリューションはAWSに特化したものですが、その概念は、組織が本格的に利用している他のあらゆるクラウドプラットフォームにも適用可能であり、また適用すべきものです。
トピックの詳細
-
クラウドにおけるDFIR
-
クラウドサービスモデル（IaaS、PaaS、SaaS）
-
クラウドフォレンジックと従来のフォレンジックの比較
-
MITRE ATT&CK® Cloud Matrix
-
AzureおよびM365におけるインシデント対応
-
クラウド上の攻撃者
-
AWSの基礎
-
AWSにおけるインシデント対応
-
AWSにおけるIR（インシデント対応）の自動化
キャップストーン：エンタープライズクラスのIR演習
セクション6は、本コースの集大成となる演習です。受講者は、コースで学んだ概念を応用し、複数のプラットフォームにまたがる侵害事案を分析します。実際の現場で使用されるツールや手法を駆使し、ホストやクラウドシステムを横断するインシデントの全容を調査・分析するとともに、チームで協力して現実的な対応プロセスをシミュレーションします。
