FORENSICS 508

Advanced Incident Response, Threat Hunting, and Digital Forensics

English

日程: 2025年9月8日(月)~2025年9月13日(土)

期間: 6日間

講義時間: 1日目: 9:00-17:30
2日目~6日目: 9:30-17:30

受講スタイル: ハイブリッド (LiveOnlineとOnsiteの同時開催)

会場: ◆LiveOnline形式
　オンライン

◆Onsite形式
　渋谷ソラスタコンファレンス（https://shibuya.infield95.com/）
　東京都渋谷区道玄坂一丁目21番1号渋谷ソラスタ 4階

GIAC認定資格: GCFA

講師: Steve Anson|スティーブアンソン
SANSプリンシパルインストラクター

言語: 英語　英語教材・同時通訳

定員: 40名

CPEポイント: 36 Points

受講料

早期早割価格：1,300,000円（税込み 1,430,000円）
※キャンペーン価格のため、他の割引の重複適用はできません。ご了承ください。

通常価格：1,420,000円（税込み 1,562,000円）

申込締切日: 早期割引価格：2025年7月25日(金)
通常価格：2025年8月29日(金)

オプション

GIAC試験価格：170,000円（税込み 187,000円）
OnDemand 価格：170,000円（税込み 187,000円）
NetWars Continuous 価格：290,000円（税込み 319,000円）

※オプションの価格は、コース本体とセットでお申込みいただく場合のみ有効です。
※コース本体のお申込み後にGIAC試験オプションを追加される場合は、事務手数料10,000円（税込11,000円）を申し受けます。
※お申込み締切後はオプションの追加のお申込みを承ることができませんのでご了承ください。
※お申込み締切後にGIAC試験を追加する場合は、こちらのページ（英語）をご参照のうえ、GIACへ直接お申込みください。なお、コース本体とセットでお申込みいただいた場合は特典として模擬試験2回分が付きますが、GIACへ直接お申込みの場合は模擬試験2回分の特典はございません（別途購入可能）

以下の「お申し込み」を押すと、NRIセキュアのお申し込みサイトに遷移します。

受講に必要なPC環境

演習で使用するノートPCをご準備下さい。受講に必要なPC環境についてご確認ください。

FOR508 PC設定詳細

重要！次の手順に従って設定されたPCを持参してください。

SANSトレーニングを有意義に受講していただくには要件を満たすノートPCが必須です。次の要件を確認し、事前に必要な設定を完了しておいてください。講義中は設定をする時間はありません。必ず事前の確認・設定をお願いいたします。
講義の前にシステムのバックアップを行うようにしてください。また、機密データが保存されているシステムは使用しないようにしてください。お客様のデータの消失・破損などへの影響につきましては、弊社は一切の責任を負いません。

システムハードウェア要件

CPU： 64ビットIntel i5/i7（第8世代以降）、またはAMD同等品。このクラスでは、64ビット、2.0GHz以上のプロセッサーが必須。
重要： Appleシリコンを搭載したデバイスは必要な仮想化を行うことができないため、このコースでは一切使用できません。
「Intel-VTx」や「AMD-V」拡張機能など、仮想化技術を有効にするためのBIOS設定が必要です。変更が必要な場合に備えて、BIOSがパスワードで保護されている場合は、絶対にアクセスできるようにしてください。
RAM：16GB以上（16GB以上のRAMが必須）
HDD/SSD：350GB以上の空き容量
利用可能なUSB 3.0 Type-Aポートが1つ以上あること。最新のノートパソコンにはType-CからType-Aへの変換アダプタが必要な場合があります。エンドポイントプロテクションソフトウェアの中にはUSBデバイスの使用を禁止しているものもありますので、授業前にUSBドライブでシステムをテストしてください。
ワイヤレスネットワーク（802.11規格）が必要です。教室では有線のインターネット接続はできません。

ソフトウェア要件

ホストOSは、Windows 10、Windows 11、またはmacOS 10.15.x以降の最新バージョンである必要があります。
正しいドライバとパッチがインストールされていることを確認するため、授業前にホストOSを完全にアップデートしてください。
Linuxホストはバリエーションが多いため、教室ではサポートしていません。Linuxをホストとして使用する場合、コース教材および/またはVMと連動するように設定する責任は各自にあります。
ローカル管理者アクセスが必要です。(これは絶対に必要です。ITチームにそうでないと言わせないでください)。受講期間中、会社がこのアクセスを許可しない場合は、別のノートパソコンを持参するよう手配してください。
ウイルス対策ソフトやエンドポイント保護ソフトが無効になっていること、完全に削除されていること、またはそのための管理者権限を持っていることを確認してください。私たちのコースの多くは、オペレーティングシステムへの完全な管理者アクセスを必要とし、これらの製品はラボの達成を妨げる可能性があります。
アウトバウンドトラフィックのフィルタリングは、あなたのコースのラボの達成を妨げる可能性があります。ファイアウォールは無効にするか、無効にするための管理者権限を持ってください。
クラス開始前に、VMware Workstation Pro 17+（Windowsホスト用）またはVMWare Fusion Pro 13+（macOSホスト用）をダウンロードしてインストールしてください。Workstation ProとFusion Proは、VMwareのウェブサイトから個人向けに無償で提供されています。また、これらの製品の商用サブスクリプションを使用することもできます。
Windowsホストでは、VMware製品はHyper-Vハイパーバイザーと共存できない場合があります。VMwareが仮想マシンを起動できることを確認してください。そのためには、Hyper-Vを無効にする必要があります。Hyper-V、Device Guard、およびCredential Guardを無効にする方法は、コース教材に付属のセットアップ・ドキュメントに記載されています。
7-Zip (Windows ホスト用) または Keka (macOS ホスト用) をダウンロードしてインストールします。これらのツールもダウンロードしたコース教材に含まれています。

LiveOnlineでのコースメディアの事前準備、テキストについて

コースのメディアがダウンロード版で配信されるようになりました。授業で使用するメディアファイルは大容量で、40～50GBのものもあります。ダウンロードに必要な時間は様々な要因に左右されるため、所要時間を見積もることはできませんが、非常に時間がかかってしまう場合もあります。メールよりダウンロードリンクを取得したら、コースメディアのダウンロードを開始してください。コースメディアは授業初日すぐに必要になります。開始前夜などにダウンロードを開始すると、失敗する可能性が高くなりますので、時間に余裕をもってご準備ください。

コース教材には「セットアップ手順」という文書が含まれています。この文書には、ライブ・クラスに参加する前、またはオンライン・クラスを開始する前に行うべき重要な手順が詳細に記載されています。この手順を完了するには、30分以上かかる場合があります。

あなたのクラスでは、ラボの指示に電子ワークブックを使用します。この新しい環境では、2台目のモニターおよび/またはタブレット端末が、コースのラボで作業している間、授業資料を見えるようにしておくのに便利です。

ノートパソコンの仕様についてご質問がある場合は、laptop_prep@sans.org までご連絡ください。

FOR508 コース概要

脅威ハンティング、インシデント対応、デジタルフォレンジックの戦術と手順は、急速に進化し続けています。侵害されたシステムを適切に特定できない、時代遅れのインシデント対応や脅威ハンティングの手法をチームで活用する余裕はありません。重要なのは、攻撃者が目的を達成し、組織に深刻な被害を与えた後ではなく、セキュリティシステムをすり抜ける攻撃を常に監視し、侵入の進行中に検知することです。インシデント対応者にとって、このプロセスは「脅威ハンティング」と呼ばれています。FOR508トレーニングでは、APT攻撃を仕掛ける国家支援型の攻撃者、組織犯罪シンジケート、ランサムウェア運用者、ハクティビストなど、企業ネットワーク内の幅広い脅威を追跡、特定、対抗、そして復旧するための高度なスキルを習得できます。

このコースは、次の項目を理解することに主眼が置かれています。

攻撃者の手口を理解して侵害の評価を実行する
侵害がいつ、どのように発生したかを検出する
侵害されたシステムや感染したシステムを迅速に特定する
損害評価を実施し、何がアクセスされ、盗まれ、変更されたかを特定する
インシデントを封じ込め、修復する
攻撃者を追跡し、ネットワークを調査するための脅威インテリジェンスを開発する
攻撃者の技術に関する知識を活用して、さらなる侵害を追跡する
アンチ・フォレンジックやデータ隠蔽技術に対抗するための高度なフォレンジックスキルを構築する

コースの演習と最終課題では、エンドポイントのアーティファクト、イベントログ、システムメモリなどを通じて発見された実際の攻撃者のアクティビティが示されます。

フェーズ1 - 患者ゼロの侵害とマルウェアC2ビーコンのインストール
フェーズ2 - 特権昇格、他のシステムへの横方向の移動、マルウェアユーティリティのダウンロード、追加のビーコンのインストール、ドメイン管理者の資格情報の取得
フェーズ3 - 知的財産の検索、ネットワークプロファイリング、ビジネス電子メール侵害、アカウント認証情報のダンプ
フェーズ4 - 流出ポイントの発見、盗難のためのデータを収集と準備
フェーズ 5 - クリーンアップの実行、長期的な持続メカニズムの設定 (または、このフェーズを使用してランサムウェアを展開する)

ビジネス上の留意点

攻撃者の手口を理解して、プロアクティブな侵害評価を実行する
検出機能をアップグレードする
標的となる攻撃者を追跡し、将来の侵入イベントに備えるための脅威インテリジェンスを開発する
アンチ・フォレンジックに対抗するための高度なフォレンジックスキルを構築する

万が一、侵害が発生した場合、FOR508修了生は以下のスキルを身につけることができます。

攻撃がどのように、いつ発生したかを検出する
侵害されたシステムや感染したシステムを迅速に特定する
損害評価を実施し、何が読み取られ、盗まれ、変更されたかを特定する
インシデントの封じ込めと修復
攻撃者の知識を活用してさらなる侵害を追跡する

本講座受講にあたっての前提

FOR508™トレーニングは、高度なインシデント対応と脅威ハンティングのコースで、高度な持続的脅威（APT）と組織犯罪の脅威グループへの検知と対応に重点を置いています。このコースでは、インシデント対応ポリシーやデジタルフォレンジックの基礎は扱いません。

このコースを受講する前に、FOR500: Windows Forensics の知識を身に付けておくことをお勧めします。

受講対象者

インシデント対応チーム APTグループ/高度な敵対者からの複雑なセキュリティインシデント/侵入に定期的に対応し、企業内のエンドポイント全体で侵害されたシステムを検出、調査、修復、および回復する方法を知る必要があるメンバー。
脅威をより完全に理解し、脅威をより効果的に狩り、彼らの商工術に対抗するために脅威からどのように学ぶかを求めている脅威ハンター。
アラートの理解を深め、イベントのトリアージに必要なスキルを身に付け、高度なエンドポイント検出と対応 (EDR) 機能を十分に活用したいと考えている SOC アナリスト。
メモリとタイムラインのフォレンジック、技術的に進んだ個人の調査、インシデント対応戦術、高度な侵入調査についての理解を深めたいと考えている経験豊富なデジタルフォレンジックアナリスト。
検出エンジニアは、より効果的な侵入検出メカニズムを構築するために、攻撃者の手口について理解を深める必要があります。
データ侵害のインシデントや侵入への対応を直接サポートし、支援する情報セキュリティの専門家。
高度な侵入調査とインシデント対応を習得し、従来のホストベースのデジタルフォレンジックを超えて調査スキルを拡大したいと考えている連邦捜査官および法執行機関の専門家。
レッドチームのメンバー、侵入テスター、およびエクスプロイト開発者は、対戦相手が自分の行動を特定する方法、よくある間違いがリモートシステムでの操作をどのように危険にさらすか、およびそれらの間違いを回避する方法を学びたいと考えています。このコースでは、エクスプロイト後の操作手順やエクスプロイトテスト用バッテリーに簡単に統合できるリモートシステムフォレンジックとデータ収集技術について説明します。
SANS FOR500™およびSEC504™の卒業生は、スキルを次のレベルに引き上げようとしています。

※FOR508は、GIAC（GCFA）認定試験対象コースです。

GIAC Certified Forensic Analyst

GIAC認定フォレンジックアナリスト（GCFA）認定資格は、コンピュータシステムのデータ収集と分析に必要なコアスキルに重点を置いています。受験者は、正式なインシデント調査を実施し、内部および外部からのデータ侵害、高度な持続的脅威、攻撃者が使用するアンチフォレンジック技術、複雑なデジタルフォレンジックケースなど、高度なインシデント対応シナリオに対応するための知識、スキル、能力を備えています。

高度なインシデント対応とデジタルフォレンジック
メモリフォレンジック、タイムライン分析、アンチフォレンジック検出
脅威ハンティングとAPT侵入インシデント対応

講義内容の一例

様々な攻撃を効果的に検知し、封じ込め、インシデントを修復するために必要なツール、テクニック、手順を学び、習得します。
企業環境における複数のWindowsシステムにおいて、メモリ上の未知のライブ、休眠、カスタムマルウェアを検出し、ハントします。
PowerShell、Velociraptor、SIFT Workstationを使用して、数百のユニークなシステムを同時にハントし、インシデントレスポンスを実行します。

メモリフォレンジック、レジストリ分析、ネットワーク接続のデータからコマンド＆コントロール（C2）チャンネルに発信するマルウェアを特定し、追跡することができます。
根本原因、攻撃の発端、初期攻撃メカニズムを特定することにより、侵害がどのように発生したかを判断する。
PowerShellやWMIの悪意ある使用など、各種システム特有の技術を特定する。
ネットワーク内を移動し、攻撃者が活動を維持するために使用するLiving off he land技術とともに、マルウェアの隠蔽やタイムスタンプなどの攻撃者の高度なアンチフォレンジック技術を対象とする。
SIFT Workstationのメモリ解析、インシデントレスポンス、脅威ハンティングツールを使用して、隠れたプロセス、マルウェア、攻撃者のコマンドライン、ルートキット、ネットワーク接続などを検出します。
詳細なタイムラインとsuper timeline分析により、分析中のシステムにおけるユーザーと攻撃者の活動を秒単位で追跡します。
ボリュームシャドウコピーと復元ポイントの分析により、アンチフォレンジック技術で消去されたデータを復元します。
エンドポイントにおける企業内の横方向の動きと方針を特定し、攻撃者が検知されずにシステムからシステムへ移行する方法を示します。
ロックダウンされた環境であっても、攻撃者がドメイン管理者権限を含む正当な認証情報を取得する方法を理解することができます。
攻撃者が重要なデータを収集し、それを流出収集ポイントに移動させる際のデータの動きを追跡します。
ボリュームシャドウコピーと復元ポイントの分析およびアーティファクトの切り分けにより、アンチフォレンジック技術を使用して消去されたデータを復元します。
収集したデータを使用して、企業全体にわたって効果的な修復を実行します。

DAY1
DAY2
DAY3
DAY4
DAY5
DAY6

先進的なインシデントレスポンスと脅威のハンティング

あなたを狙う敵に対して優位に立つ方法はいくつかあります。まずは正しい考え方と、効果的な方法を知ることから始まります。

過去10年間、ネットワーク防御者にとって厳しい時代でした。現代の企業に対する脅威は膨大で、攻撃者は企業ネットワークの複雑さを巧みに利用してきました。しかし、状況は変わりつつあります。過去10年間で、組織に対する高度な攻撃が劇的に増加しました。国家が支援する攻撃者、いわゆる「APT（Advanced Persistent Threat）」の抑制は困難を極めています。世界各地から大規模な金融攻撃が起こり、数十億ドル規模の損失が発生しています。ランサムウェアや恐喝は、一夜にして企業存亡の危機となりました。不利な状況が続く中、優秀なセキュリティチームは、これらの脅威を管理・軽減できることを証明しています。FOR508™は、こうした苦労して得た教訓を教育現場に活かすことを目的としています。

攻撃を理解することは、攻撃を検知し、軽減するために不可欠です。初日から攻撃者のテクニックに関する教育を開始し、一般的なマルウェアと攻撃の特性について学び、ネットワーク内での持続性を維持するために攻撃者が使用するテクニックを深く掘り下げます。持続性は通常、攻撃サイクルの早い段階で完了するため、学生はネットワークを監査し、早期発見を実現するためのハンティングテクニックを習得します。特に、Living off the landバイナリ（ほとんどの環境で利用可能なローカルツール）、PowerShell、WMIベースの攻撃は、高度な攻撃者の標準的な操作手順となっており、学生は大規模な攻撃を特定するためのツールとテクニックを徹底的に練習します。最後に、Microsoftの認証情報について深く掘り下げます。現代の企業における認証情報の複雑さは強調しすぎることはありません。認証情報は、あらゆるネットワークに存在する最大の脆弱性です。認証情報を狙うために使用されるツールとテクニックを理解することで、受講者はこれらの壊滅的な攻撃を防止、検出、軽減する方法を学びます。

演習

APTインシデント対応のシナリオ紹介
マルウェアの持続性検出と分析
ローカルおよびリモートトリアージ証拠画像の作成
リモートエンドポイントインシデント対応の拡張

トピック

実際のインシデント対応戦略

準備: インシデント対応チームが侵入に適切に対応するために必要な主要なツール、テクニック、手順
識別/スコープ設定: インシデントの適切なスコープ設定と、企業内の侵害されたすべてのシステムの検出
封じ込め/情報開発: 脅威情報を開発するために、アクセスを制限し、監視し、攻撃者について学習する
根絶/修復: 現在のインシデントを阻止し、リアルタイムの修復に移行するために必要な主要な手順を決定して実行する
回復：インシデントにつながるシステム上の弱点に対処する
教訓/脅威インテリジェンスの活用: 発見されたTTPを活用して、今後も同様の侵入を継続的に追跡し、検出する。

脅威ハンティング

ハンティングとリアクティブレスポンスインテリジェンス主導のインシデント対応
継続的なインシデント対応/脅威ハンティング能力の構築
エンドポイントにおけるフォレンジック分析と脅威ハンティング
脅威ハントチームの役割
ATT&CK - MITREの敵対的戦術、テクニック、そして共通知識

マルウェア

侵害されたシステムの特定
アクティブおよび休止状態のマルウェアの検出
コード署名のためのデジタル署名
マルウェアの特徴
一般的な隠蔽と永続化のメカニズム
正常を理解することで悪を見つける
組み込みコマンド（「Living off the Land」）およびサードパーティ製ユーティリティの悪意のある使用

企業全体のインシデントレスポンスとハンティング

迅速対応ツールソリューション
PowerShell リモート処理
PowerShell リモート認証情報の保護
Kansa PowerShell リモート IR フレームワーク
KAPEトリアージ収集ツール
Velociraptorインシデント対応プラットフォーム

マルウェアの持続性の識別

自動起動の場所、実行キー
サービスの作成/置き換え
サービス障害回復
スケジュールされたタスク
DLLハイジャック攻撃
WMIイベントコンシューマー

機微情報の窃取の防止、検出、緩和

ハッシュを渡す
トークンの盗難
キャッシュされた資格情報
LSA シークレット
NTLM攻撃
Kerberos攻撃攻撃
ゴールデンチケット
Kerberos認証DCSyncNTDS.DITの盗難
Bloodhound と Active Directory のグラフ化
Mimikatz、Metasploit、その他多くのツールによる認証情報攻撃
技術的およびアーキテクチャ的な緩和技術

侵入分析

最強の攻撃者でさえ、あらゆる場所に足跡を残します。最強のハンターの秘密を学びましょう。

サイバーディフェンダーは、ネットワーク内での攻撃者の活動を特定し、追跡、追跡するために多種多様なツールとアーティファクトを活用しています。攻撃者の行動はそれぞれ対応するアーティファクトを残します。そして、その痕跡が何であるかを理解することは、レッドチームとブルーチームの両方のメンバーにとって非常に重要です。攻撃は予測可能なパターンに従うため、私たちはそのパターンの不変部分に重点的に調査を行います。例えば、攻撃者は目的を達成するために、ある時点でコードを実行する必要があります。このアクティビティは、アプリケーション実行アーティファクトを通じて特定できます。攻撃者は、コードを実行するために1つ以上のアカウントを必要とします。したがって、アカウント監査は悪意のあるアクティビティを特定するための強力な手段となります。

演習

大規模な実行の証拠の探索と検出
資格情報の不正使用の発見
横方向の移動の追跡
WMIとPowerShellの悪意ある使用の検出

トピック

実行痕跡の高度な証拠

プロセス実行を通じて観察された攻撃者の戦術、手法、手順（TTP）
プリフェッチ分析
アプリケーション互換性キャッシュ（ShimCache）
Amcacheレジストリ検査
ShimCache と Amcache の調査のスケーリング

横移動に対する戦術、テクニック、手順（TTP）

資格情報の侵害手法
リモートデスクトップサービスの不正使用
Windows 管理者共有の悪用
PsExecとCobalt Strike BeaconのPsExecアクティビティ
Windows リモート管理ツールのテクニック
PowerShell リモート処理/WMIC ハッキング
Cobalt Strike の横展開と認証情報の利用
脆弱性の悪用

インシデントレスポンダおよびハンターのイベントログ分析

アカウントの使用状況とログオンのプロファイリング
追跡と追跡による横方向の移動
疑わしいサービスの特定
不正アプリケーションのインストールの検出
マルウェアの実行とプロセス追跡の検出
コマンドラインとスクリプトのキャプチャ
アンチフォレンジックとイベントログの消去

WMIおよびPowerShellベースの攻撃の調査

WMIの概要
キルチェーンを通じたWMI攻撃
WMIリポジトリの監査
WMIファイルシステムとレジストリの残留
コマンドライン分析とWMIアクティビティログ
PowerShell トランスクリプトと ScriptBlock ログ
Cobalt Strike ビーコン PowerShell インポートアクティビティの検出
Cobalt Strike、Metasploit、Empire からの PowerShell インジェクションの検出
PowerShell スクリプトの難読化
Microsoft Defender ログ、検出履歴、MPLog 分析

インシデントレスポンスと脅威のハンティングにおけるメモリフォレンジック

メモリ分析を使うと、まるでズルをしているように感じることがあります。アクティブな攻撃を見つけるのは、こんなに簡単であってはなりません。

メモリフォレンジックは、わずか数年で大きく進歩しました。現在では、多くの高度なツールスイート（特にEDR）の重要なコンポーネントであり、インシデント対応および脅威ハンティングチームの成功を支える柱となっています。メモリフォレンジックは、標的型攻撃者が使用するワーム、ルートキット、PowerShell攻撃、ランサムウェアの前兆、高度なマルウェアの証拠を見つけるのに非常に効果的です。実際、ファイルレス攻撃の中には、メモリ分析なしでは解明がほぼ不可能なものもあります。メモリ分析は従来、Windows内部の専門家やリバースエンジニアの領域でしたが、新しいツール、手法、検出ヒューリスティックの登場により、その範囲は大幅に広がり、今日ではすべての調査担当者、インシデント対応担当者、脅威ハンターが利用できるようになりました。さらに、メモリ内の攻撃パターンを理解することは、幅広いエンドポイント検出および対応（EDR）製品に適用できる中核的なアナリストスキルであり、これらのツールをさらに効果的なものにしています。

演習

EDRの機能と課題
EDRとメモリフォレンジック
メモリの取得システムメモリの取得
休止状態とページファイルのメモリ抽出と変換
仮想マシンのメモリ取得
Windows 10と11におけるメモリの変更

トピック

エンドポイントディテクションおよびレスポンス（EDR）

- EDRの機能と課題
- EDRとメモリフォレンジック

メモリ獲得

システムメモリの取得
ハイバネーションとページファイルメモリの抽出と変換
仮想マシンのメモリ獲得
Windows 10および11におけるメモリの変更点

レスポンスとハンティングのためのメモリフォレンジック分析プロセス

一般的なWindowsサービスとプロセスの理解
不正なプロセスの特定
プロセスオブジェクトの分析
ネットワークアーティファクトの確認
コードインジェクションの証拠の検索
監査ドライバーとルートキット検出
疑わしいプロセスとドライバーのダンプする

メモリフォレンジックスの検査

ライブメモリフォレンジック
揮発性メモリ分析
プロセスツリー分析によるWebシェル検出
メモリ内のコードインジェクション、マルウェア、ルートキットの探索
MemProcFS による高度なメモリフォレンジック
WMI および PowerShell プロセスの異常
メモリ常駐の攻撃者のコマンドラインの抽出
Windows サービスの調査
比較ベースラインシステムを使用したマルウェアハンティング
RAMからキャッシュされたファイルの検索とダンプ

メモリ解析ツール

Velociraptor
Volatility
MemProcFS

タイムライン解析

タイムライン分析は、デジタルフォレンジック、脅威ハンティング、インシデント対応へのアプローチ方法を永久に変えるでしょう。

時間データはコンピュータシステムのあらゆる場所に存在します。ファイルシステムの変更／アクセス／作成／変更時刻、ログファイル、ネットワークデータ、レジストリデータ、ブラウザ履歴ファイルなど、あらゆるものに時間データが含まれており、それらを相関分析することで迅速な事件解決に役立ちます。2001年にRob Lee氏によって初めて開発されたタイムライン分析は、重要なインシデント対応、ハンティング、そしてフォレンジック技術へと発展しました。新しいタイムライン分析フレームワークは、多数のシステムと多数のフォレンジックアーティファクトを同時に調査する手段を提供します。かつては数日かかっていた分析が、今では数分で完了します。

演習

マルウェア検出
スーパータイムライン分析による攻撃者の活動の追跡
システムを介した攻撃者の動きの観察
侵入の根本原因の特定

トピック

マルウェア検出

エントロピーとシグネチャ分析による疑わしいプロセスの特定
AV検疫での悪質なファイルの回復
マルウェア分類にYARAを使用する
Capaを使用して悪意のあるバイナリを確認する

タイムライン解析の概要

タイムラインのメリット
前提知識
ピボットポイントの検索
タイムラインのコンテキストの手がかり
タイムライン分析プロセス

ファイルシステムタイムラインの作成と分析

MACBタイムスタンプ
Windowsタイムルール (ファイルコピーとファイルの移動)
Sleuthkit、fls、MFTECmdを使用したファイルシステムタイムラインの作成
mactimeツールを使用したボディファイルの分析とフィルタリング

スーパータイムラインの作成と分析

スーパータイムラインアーティファクトルール
プログラム実行、ファイル知識、ファイルオープン、ファイル削除
log2timeline/Plaso によるタイムライン作成
log2timeline/タイムラインコンポーネント
psort を使ったスーパータイムラインのフィルタリング
ターゲットを絞ったスーパータイムラインの作成
スーパータイムラインの分析テクニック
Elastic Search (ELK)を使用したスーパータイムライン分析のスケーリング

企業全体でのインシデント対応とハンティング | 高度な攻撃者検知とアンチフォレンジック検知

高度な攻撃者は常に進化を続けています。私たちもそれに追いつかなければなりません。

攻撃者は、侵害を受けたシステム上で自身の存在を隠すための対策を講じることがよくあります。フォレンジック対策の中には比較的容易に検出できるものもありますが、対処が非常に困難なものもあります。そのため、フォレンジック専門家やインシデント対応者は、重要な残存証拠を明らかにする可能性のあるオペレーティングシステムとファイルシステムの様々な側面について十分な知識を持つことが重要です。

演習

ボリュームシャドウスナップショット分析
タイムライン
NTFSを使用したアンチフォレンジック分析
タイムスタンプ識別
高度なデータ復旧

トピック

ボリュームシャドウコピー分析

ボリュームシャドウコピーサービス
ボリュームスナップショット内の履歴データにアクセスするためのオプション
vshadowmount によるシャドウコピーへのアクセス
ボリュームシャドウコピーのタイムライン

高度なNTFSファイルシステムの戦略

NTFSファイルシステム分析
マスターファイルテーブル（MFT）の重要な領域
NTFS システムファイル
NTFSメタデータ属性
$StdInfo と $Filename の Windows タイムスタンプルール
タイムスタンプ操作の検出
常駐ファイルと非常駐ファイル
代替データストリーム
NTFSディレクトリ属性
B-Treeインデックスの概要とバランシング
$I30インデックスを使用して消去/削除されたファイルの検索
ファイルシステムのフライトレコーダー: $Logfile と $UsnJrnl
ジャーナルの一般的なアクティビティパターン
ジャーナルの便利なフィルターと検索
NTFS ファイルシステムからデータが削除されると何が起こるか?

高度な証跡回収

一般的なワイパーとプライバシークリーナーのマーカー
削除されたレジストリキー
レジストリ内の「ファイルレス」マルウェアの検出
ファイルカービング
ボリュームシャドウカービング
NTFSアーティファクトとイベントログレコードのカービング
効果的な文字列検索
アンチフォレンジック対策のためのNTFS構成の変更

APT Threat Group インシデントレスポンスチャレンジ

最終的な侵入ラボを解決するには、Windows 10および11ワークステーション、DMZサーバー、ドメインコントローラー、社内開発サーバー、そしてホストされたExchangeメールなど、30以上のシステム上のアーティファクトを調査する必要があります。このコースでは、高度な脅威との戦いで数十年の経験を持つ講師陣が監修する、実際の攻撃を調査する実践的な経験を積むことができます。

トピック

侵入フォレンジックチャレンジでは、多数のエンドポイントを持つ企業ネットワークの複数のシステムを分析する必要があります。
ネットワーク全体にわたって攻撃者の行動を識別して追跡し、初期の悪用、偵察、持続、資格情報のダンプ、横方向の移動、ドメイン管理者への昇格、データの盗難/流出を見つける方法を学びます。
インシデント対応に対するチームベースのアプローチを目撃し、参加します。
Cobalt Strike、Sliver、Covenant、リモート監視および管理 (RMM) ツール、PowerShell エクスプロイトフレームワーク、カスタム国家型マルウェアなど、現在最も一般的かつ高度な攻撃の証拠を発見します。
チャレンジ中、各インシデント対応者は、組織内で実際の侵害が発生した場合と同様に、以下に挙げるさまざまなカテゴリの主要な質問に答え、重大な問題に対処することが求められます。

識別とスコープ

ネットワークはいつ、どのように侵入されたか？「最初の感染者」はどのシステムか？
最初の感染はどのようにして発生し、攻撃者に足掛かりを与えたのか？どのような種類のエクスプロイトが使用されたのか？
攻撃者はいつ、どのようにして各システムに横移動したのか?
攻撃者の主なコマンドアンドコントロールバックドアと二次コマンドとコントロールバックドアは何か?

封じ込めと脅威インテリジェンスの収集：

攻撃者はドメイン管理者の資格情報をいつ、どのように入手したか?
攻撃者は各システムで何を探したのか?
被害評価: どのようなデータが盗まれたか?
被害評価: 電子メールがアクセスされたか、盗まれたか?
アンチフォレンジック活動の証拠は発見されたか?
攻撃者は、クラウドコンピューティングリソースやクラウドストレージデータなどのクラウドベースのリソースにアクセスできたか?
脅威インテリジェンス: ホストベースおよびネットワークの侵害の指標をカタログ化する。

修復と回復

どの程度のレベルのアカウント侵害が発生したか? 修復中にパスワードの完全なリセットは必要か?
インシデント中に発見された攻撃者の手法とツールに基づいて、このインシデントを修復および回復するために推奨される手順は何か?
どのようなシステムを再構築する必要があるか?
どの IP アドレスをブロックする必要があるか?
攻撃者が戻ってきた場合に攻撃を遅らせたり阻止したりするために、どのような対策を講じるべきか?
ネットワーク内でこれらの侵入者を再度検出するには、どのような推奨事項があるか?

NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。