以下の「お申し込み」を押すと、NRIセキュアのお申し込みサイトに遷移します。
Ransomware and Cyber Extortion
Digital Forensics and Incident Response
English2025年9月8日(月)~2025年9月11日(木)
1日目:9:00-17:30
2日目~4日目:9:30-17:30
◆LiveOnline形式
オンライン
早期割引価格:1,050,000 円(税込み 1,155,000 円)
※キャンペーン価格のため、他の割引の重複適用はできません。ご了承ください。
通常価格:1,150,000円(税込み 1,265,000 円)
※オプションの価格は、コース本体とセットでお申込みいただく場合のみ有効です。
※お申込み締切後はオプションの追加のお申込みを承ることができませんのでご了承ください。
演習で使用するノートPCをご準備下さい。受講に必要なPC環境についてご確認ください。
重要 この説明書に従って設定したシステムを持参してください。
このコースに完全に参加するためには、適切に設定されたシステムが必要です。この説明をよく読み、それに従わなければ、コースの実習に十分に参加することができません。従って、指定された要件をすべて満たすシステムでご出席ください。
授業の前にシステムをバックアップしてください。より良い方法は、機密データやクリティカルなデータのないシステムを使用することです。SANSはあなたのシステムやデータに対して責任を負いません。
システムハードウェア要件の必須
必須ホスト構成とソフトウェア要件
コースメディアはダウンロードで配信されます。クラスのメディアファイルは大きくなる可能性があります。多くは40~50GBの範囲で、100GBを超えるものもあります。ダウンロードが完了するまでに十分な時間を確保する必要があります。インターネット接続と速度は大きく異なり、さまざまな要因に左右されます。そのため、教材のダウンロードにかかる時間を見積もることはできません。リンクを取得したら、すぐにコースメディアのダウンロードを開始してください。コースメディアは、クラスの初日にすぐに必要になります。これらのファイルのダウンロードを開始するには、クラスの前夜まで待たないでください。
コース教材には、ライブクラスイベントに移動したり、オンラインクラスを開始したりする前に実行する必要がある重要な手順を詳述した「セットアップ手順」ドキュメントが含まれています。これらの手順を完了するには、30分以上かかる場合があります。
クラスでは、ラボの手順に電子ブックを使用します。この新しい環境では、2つ目のモニターやタブレットデバイスは、コースのラボで作業している間にクラス教材を表示しておくのに役立ちます。
"ランサムウェア"という用語は、リソースをロックダウンする単純な暗号化機能を指すものではなくなりました。サービスとしてのランサムウェア (RaaS) の進化と共に、人間が操作するランサムウェア (HumOR) の出現により、キーボードを使った実践的な、適切に計画された攻撃キャンペーンで成功するエコシステム全体が作成されました。これは急速に拡大している脅威であり、不適切なマウスクリックによる1台のマシンへの感染から、大規模なネットワークと小規模なネットワークを同様に破壊できる急成長中の企業へと進化しています。恐喝行為者が暗号化機能を展開していない場合でも、その影響は壊滅的なものになる可能性があります。
FOR528:Ransomware and Cyber extortionコースでは、ランサムウェアの詳細に対処して、これらの攻撃の余波に備え、検出、追跡、対応し、対処する方法を学生に教えます。このコースは、実際のデータを使用して学習する実践的なアプローチを特徴としており、学生が学習を固めるのに役立つ1日間のキャプチャフラグ (CTF) チャレンジが含まれています。4日間のクラスでは、収集するアーティファクト、それらを収集する方法、収集作業をスケールする方法、データを解析する方法、解析された結果を集計して確認する方法を学生に教えます。
また、このコースでは、ランサムウェアとサイバーextortion攻撃のライフサイクルの各フェーズの詳細と検出方法についても説明します。これらのフェーズには、初期アクセス、実行、防御回避、永続化、Active Directory (AD) に対する攻撃、特権のエスカレーション、資格情報アクセス、横方向の移動、データアクセス、データ流出、およびペイロードの展開が含まれます。
ランサムウェアとサイバー恐喝コースは、ランサムウェアの歴史の復習から始まります。最初に知られているランサムウェア攻撃の話から始まり、私たちの業界に立ちはだかる現在の脅威に進みます。HumORとRaaSの出現により、生活は言うまでもなく、私たちの内部に接続された生活が毎日危険にさらされています。これらの脅威に関連する役割、プロセス、通信方法、アクティビティを深く掘り下げていくことで、ランサムウェアの理解を深めていきます。
次に、暗号化されようとしている場合、現在暗号化されている場合、または最近暗号化された場合に行うべきことについて説明します。連絡する必要があるエンティティ、関与する必要がある部門、時間的な要件に特に注意して配置する必要があるプロセスなど、実行する必要があるアクションについて説明します。
私たちが直面している真の脅威と、一般的なインシデント対応プラクティスを適用する方法について学習した後、ランサムウェアキャンペーンの分析に最適なWindowsベースのフォレンジックアーティファクトについて詳しく説明します。収集するアーティファクトと、取得と解析に最適なツールと方法について説明します。組織の準備レベルに関係なく、分析を容易にするデータを取得するためにできることについて説明します。
単一のコンピューターに対して直接取得するための実践的なアプローチを学習し、大規模な取得と分析に移行します。詳細なハンズオンラボでは、各環境の種類の分析方法について説明します。TimeSketchを使用して解析された成果物を分析し、簡単に成功する方法と、ランサムウェアの脅威への組織の対応に役立つ高度な分析プラクティスを認識できるようにします。
ランサムウェアインシデントは特に特殊なものではありません。インシデント対応者は、同じ戦術、手法、および手順 (TTP) を何度も目にします。では、それらを検出する方法を学びましょう。
セクション2は、Kibanaのハンズオンラボから始まります。これは、ランサムウェアやサイバー恐喝の調査を容易にするために役立つセカンダリログ集計グラフィカルユーザーインターフェイスです。次に、成果物の分析から、ランサムウェアキャンペーンの攻撃サイクルの初期段階の説明に移ります。最初のアクセス、実行、防御回避、およびスクリプトエンジンの乱用について説明します。ほとんどのランサムウェアのケースでは、PowerShell、Batchスクリプト、JavaScript、Visual Basic Scriptingなどのスクリプトエンジンを利用するアクターが関係しています。
次に、繰り返し使用されるさまざまなツールとスクリプトについて説明し、各ツールの概要と、検出と検出の詳細を示します。次に、永続性について説明します。一般的なC2メカニズム、RMMソリューション、およびランサムウェアのオペレーターが環境へのアクセスを維持するために使用するネイティブのWindowsメソッドについて説明します。
次に、Cobalt Strike (CS) の詳細なレビューに移ります。これは、おそらくその仕事が"良すぎる"ようになった敵対者エミュレーションおよび攻撃シミュレーションツールです。侵入テスターやレッドチームなど、世界中の多くのセキュリティ専門家がCSに依存しています。残念ながら、この非常に強力な商用ツールは、ランサムウェア攻撃の非常に高い割合で使用されています。ツールのインフラストラクチャ、調整可能なC2プロファイル、ペイロード検出/難読化方法などについて学習します。このモジュールには、CSペイロードのデコードを学習するハンズオンラボが含まれています。
トレーニングの多くは、分析方法を順を追って説明するハンズオンラボで区切られています。インシデント対応の経験があるユーザーと新しいユーザーの両方が、ランサムウェアまたはサイバー恐喝インシデントを最初から最後まで処理できるようにすることを目的としています。
セクション3は、特権のエスカレーション、資格情報へのアクセス、および横方向の移動から始まります。ランサムウェア攻撃者は、コンピューター上の特権をエスカレートするためにどのようなツールを使用しますか。Windowsホストから保存されている資格情報にどのようにアクセスしますか。よくダンプされるプロセス、その理由、および方法は何ですか。横方向の移動については、RDP、SMB (特にPsExec)、WinRM、およびその他の方法を使用して被害者のネットワーク全体を移動する方法について学習します。
次に、MicrosoftのADに対する攻撃に注目します。ランサムウェアのオペレーターはADを攻撃するのが好きなので、ADの不適切な構成を利用して特権を昇格させ、資格情報にアクセスするさまざまな方法について説明します。
このコースのより重要なセクションの1つであるデータアクセスとデータ流出で、攻撃のライフサイクルを続けます。組織は通常、どのようなデータがアクセスされたか、または盗まれたかを知りたいと考えています。データのアーカイブとステージングの方法について説明します。これには、これらのアクティビティを容易にするツールを探す方法も含まれます。FTPが一般的な流出ルートだと思いますか?どのようなデータが流出しているかわからない場合でも、データが流出していることを検出するにはどうすればよいでしょうか?お見せします!
次に、ランサムウェア攻撃の最後のフェーズであるペイロードの展開と暗号化の内部動作に移ります。バックアップと回復の改ざんと、ランサムウェアアクターがバックアップシステムを攻撃する方法について説明します。アクターが痕跡を隠す方法は明らかに見えるかもしれませんが、実際にはそうです。このセクションの最後に、最も一般的なペイロードの展開方法に関する技術的な詳細について説明します。
最後に、名前が変更された実行可能ファイル、ディレクトリ分析による悪意のあるファイル/プロセスの特定、ウイルス対策ログ分析による一般的な攻撃などの検索方法について説明します。ここでは、組織を監視するための最善の方法を示します。
ランサムウェアインシデントに対応するための準備として、経験以上のものはありません。組織内でこのような経験を積みたくない場合は、感染ベクターから環境内で実行されている暗号化ペイロードまで、ランサムウェアインシデントを分析する1日のCTFチャレンジを提供します。Samaran Protectという被害組織を作成しました。これは、組織に関連する可能性が最も高い組織です。
CTFチャレンジは、被害組織に対する特別に作成された攻撃シナリオに関する50の質問で構成されています。ターゲットの被害者のネットワークには、次の3つのVLAN内にある15のホストが含まれています。
これらの攻撃を実行するために、2つの異なるランサムウェアグループを考案しました。それぞれは、現在運用されているランサムウェアの脅威グループを統合したものです。TTPは、ランサムウェアイベントに対応するユーザーが毎日目にする現実世界のシナリオを反映しています。各シナリオに関与するアクターは、異なるエントリ方法、資格情報アクセス方法、ツール、展開方法、および暗号化ペイロードを使用します。
さらに、各シナリオは、さまざまな種類の環境を模倣しています。1つは、被害者組織がインシデント対応を支援するためにフォレンジックデータを意図的に収集していない環境であり、もう1つは、被害者が適切なツールを使用していて、何に対しても準備ができている環境です。組織がインシデント後にすべての成果物の収集と解析を開始する必要があるか、データログを拡張して本格的なSIEMを活用しているかにかかわらず、Capstoneで説明する方法は、組織の方法と機能に関連するのに役立ちます。