FORENSICS 508

高度なインシデント対応と脅威ハンティング

まず、高度な脅威グループへのインシデント対応に適用される6段階のインシデント対応方法論を検証します。攻撃者の目的に影響を与えるためのサイバー脅威インテリジェンス開発の重要性について議論し、単一システムと企業全体のシステムの両方に適用できるフォレンジックライブレスポンス手法を実演します。

取り上げられるトピック

 ラボ

概要

現代の企業に対する脅威は無数にあり、攻撃者は企業ネットワークが膨大で複雑であることを悪用してきました。近年、組織に対する高度な攻撃が劇的に増加しています。国家支援型の攻撃者、いわゆる高度標的型攻撃（APT）グループへの対策は困難を極めています。世界中の脅威グループによる金銭目的の攻撃は数十億ドルもの損失をもたらし、ランサムウェアや恐喝は事実上すべての組織にとって存亡の危機となっています。こうした厳しい状況の中、優秀なセキュリティチームはこれらの脅威を管理・軽減できることを証明しています。FOR508は、こうした苦労して得られた教訓を教育の場にもたらすことを目指しています。

まず、インシデント対応プロセスと攻撃ライフサイクルの各段階、そしてアクティブな侵入の追跡とプロアクティブな脅威ハンティングにおけるサイバー脅威インテリジェンスの重要性について学びます。また、効果的なインシデント対応および脅威ハンティングプログラムにおいてAIを活用する重要な側面についても議論します。調査の継続的なレビューと管理のために、人間が常に関与し続けることが重要な要素となります。このコースの主な目的は、現代のWindowsベースのネットワーク侵入で残された痕跡を見つけ出し、解釈する方法を人間のアナリストに教えることです。これらのスキルは、AIの支援の有無にかかわらず、信頼性の高い対応を行う上で不可欠です。受講者はこの知識を習得するとともに、拡張性の高い対応のためにAIの力を活用する準備を整えることが可能になります。

セクション1では、一般的なマルウェアの特徴を詳しく見ていき、攻撃者がネットワーク内での永続性を維持するために使用する手法を深く掘り下げます。永続性は通常、攻撃ライフサイクルの初期段階で確立されるため、受講者はネットワークを監査して早期検出を可能にするハンティング手法を学びます。特に、Living off the landバイナリ（ほとんどの環境で利用可能なローカルツール）、PowerShell、WMIベースの攻撃は、高度な攻撃者にとって標準的な手法となっています。受講者は、このような攻撃を大規模に特定するためのツールと手法について、実践的な演習を幅広く行います。このセクションの最後では、Microsoftの認証情報について深く掘り下げます。現代の企業における認証情報の複雑さは、いくら強調してもしすぎることはありません。その結果、認証情報の漏洩は、企業ネットワーク全体に存在する最大の脆弱性となることがよくあります。受講者は、認証情報を標的とするために使用されるツールや手法を理解することで、これらの破壊的な攻撃を防止、検知、軽減する方法を学びます。

ラボの詳細

トピックの詳細

侵入分析

セクション2では、一般的な攻撃者の手口を解説し、企業内で悪意のある活動を特定するために使用できる様々なデータソースとフォレンジックツールについて説明します。さあ、ハンティングの準備をしましょう。

 取り上げられるトピック

ラボ

概要

最も高度な攻撃者でさえ、痕跡を残さずに済むことはありません。最高のハンターの秘密を学びましょう。

サイバー防御担当者は、ネットワーク上の攻撃者の活動を特定、追跡、監視するために、多種多様なツールとアーティファクトを利用できます。攻撃者の行動はそれぞれ対応するアーティファクトを残し、残された痕跡を理解することは、レッドチームとブルーチームの両方にとって非常に重要です。攻撃は予測可能なパターンに従うため、私たちはそのパターンの不変な部分に調査の焦点を当てます。例えば、攻撃者は目的を達成するためにコードを実行する必要があります。この活動は、Prefetch、Shimcache、Amcacheなどのアプリケーション実行アーティファクトによって特定できます。攻撃者はコードを実行するために1つ以上のアカウントも必要とします。したがって、アカウント監査は悪意のある活動や異常な活動を明らかにする強力な手段となります。イベントログ分析は、攻撃者が残した疑わしい活動を発見する多くの機会を提供するため、このコースのこのセクションの主要な要素です。

ラボの詳細

トピックの詳細

インシデント対応と脅威ハンティングにおけるメモリフォレンジック

​​セクション3では、利用可能な最も強力なメモリ分析機能の多くを取り上げ、使用するツールセットに関わらず、調査を強力に推進するための高度なメモリフォレンジックスキルの確固たる基盤をアナリストに提供します。

取り上げられるトピック

ラボ

概要

メモリ分析の使用は、時に不正行為のように感じることがあります。アクティブな攻撃の検出は、これほど容易であってはなりません。

メモリフォレンジックは長年にわたり大きく進化を遂げてきました。現在では、多くの高度なツールスイートの重要な構成要素であり、インシデント対応や脅威ハンティングチームの成功の鍵となっています。メモリフォレンジックは、ワーム、ルートキット、PowerShell攻撃、ランサムウェアの前駆、標的型攻撃者が使用する高度なマルウェアの証拠を見つけるのに非常に効果的です。実際、メモリ分析なしでは解明がほぼ不可能なファイルレス攻撃もあります。メモリ分析は従来、Windows内部構造の専門家やリバースエンジニアの領域でしたが、新しいツール、技術、検出ヒューリスティックの登場により、状況は大きく改善され、現在ではすべての調査員、インシデント対応担当者、脅威ハンターが利用できるようになりました。さらに、メモリ内の攻撃パターンを理解することは、幅広いエンドポイント検出・対応（EDR）製品に適用できるアナリストの中核的なスキルであり、これらのツールの有効性をさらに高めています。 

ラボの詳細

トピックの詳細

タイムライン分析

このセクションでは、DFIR分析で使用されるタイムラインの作成と分析における2つの主要な手法について解説します。タイムラインの作成方法と、それらを効果的に活用して迅速に回答を見つける方法を実演します。最後に、DFIR調査をさらに強化・加速するためのエージェント型AIについて考察します。

取り上げられるトピック

• タイムライン分析の概要
• ファイルシステムタイムラインの作成と分析
• スーパータイムラインの作成と分析
• DFIR調査のためのエージェント型AI

ラボ

• ファイルシステムのタイムライン作成と分析
• スーパータイムラインの作成
• スーパータイムライン分析による攻撃者の活動追跡
• Agentic AIによるスケーリング分析
• Elasticsearchによるスケーリング分析

概要

コンピュータシステムには、あらゆる場所に時間データが存在します。ファイルシステムのタイムスタンプ、ログファイル、ネットワークデータ、レジストリキー、ブラウザ履歴など、すべてに時間データが含まれており、これらを関連付けて分析することで、インシデントを迅速に解決できます。法律や報道といった他の調査分野と同様に、タイムライン分析はデジタル捜査において重要な手法であることが証明されています。タイムライン分析を用いることで、捜査官は個々の証拠を攻撃者の行動に関する一貫したストーリーへと変換できます。アナリストがインシデントの様々な側面を明らかにするにつれて、タイムラインはインシデントを最初の感染まで遡り、攻撃者のその後の行動を追跡するための地図となります。これは、単一のシステムで何が起こったのか、あるいは多数のシステムにわたって何が起こったのかを理解する上で、同様に有効です。侵入がどのように展開したかを効果的に報告するために、証拠を解釈する上で、これは重要な手法です。

タイムライン分析の説明に続いて、AI、特にエージェント型AIがアナリストにどのような大きな相乗効果をもたらすかについて見ていきます。エージェント型AIは、ユーザが質問をして回答を受け取るという従来のチャットボットのユースケースを超えています。エージェント型AIでは、ユーザがAIにタスクの実行を依頼します。エージェントはツールを使用し、データをレビューし、意思決定を行い、タスクが完了するまで後続の手順を実行します。AI技術は急速に進歩しており、今後も改善され続けるでしょうが、すでに迅速かつ効果的に法医学的証拠を分析する能力を備えています。しかし、完璧ではありません。そのため、AIを効果的に活用するには、訓練を受けたアナリストが不可欠です。FOR508は、人間のアナリストが作業を行うためのトレーニングに重点を置いていますが、このセクションでは、AIが分析の重要な部分を加速し、DFIR調査の質と速度を向上させる方法についても探究します。

ラボの詳細

• ファイルシステムメタデータを活用して、マルウェアのインストール、横方向の移動、機密データへのアクセスといった攻撃者の活動を迅速に特定しする
• 高度な攻撃者が自身の存在を隠蔽するために使用する、隠蔽された「タイムスタンプ」された攻撃者ファイルを見つけ出す
• タイムラインの証拠を遡って分析し、侵入の潜在的な根本原因を特定する
• タイムラインのアーティファクトをフィルタリングして、最も重要なデータソースを効率的に抽出する方法を学ぶ
• Elasticsearchを活用して、複数のシステムからタイムラインを迅速にレビューする
• Valhuntirのエージェント型AIプラットフォームを使用して、分析用のデジタル証拠を送信する
• ValhuntirのAI分析によって提示された、発見された所見、侵害の兆候、攻撃のタイムラインを確認する
• Valhuntirのアナリストポータルを通じて、AIが生成した所見を評価し、承認、却下、または編集することで、ヒューマン・イン・ザ・ループ（HITL）レビューを実践する

トピックの詳細

• タイムライン分析の概要
  • タイムラインのメリット
  • 前提知識
  • ピボットポイントの特定
  • タイムラインのコンテキストヒント
  • タイムライン分析プロセス

• ファイルシステムタイムラインの作成と分析
  • MACBタイムスタンプ
  • Windowsの時間ルール（ファイルのコピーとファイルの移動）
  • Sleuthkit、fls、MFTECmdを使用したファイルシステムタイムラインの作成
  • mactimeツールを使用したボディファイルの分析とフィルタリング

• スーパータイムラインの作成と分析
  • スーパータイムライン分析の概要
  • log2timeline/Plaso を使用したスーパータイムラインの作成
  • log2timeline/Plaso のコンポーネント
  • プログラム実行、ファイルオープン、Web ブラウジングアクティビティなどの証拠の特定
  • psort を使用したスーパータイムラインのフィルタリング
  • ターゲットを絞ったスーパータイムラインの作成
  • スーパータイムライン分析の手法
  • Elasticsearch (ELK) を使用したスーパータイムライン分析のスケーリング

• エージェント型 AI を使用した分析のスケーリング
  • DFIR におけるエージェント型 AI の機会と課題
  • DFIR における AI の基本ルールの確立
  • Timesketch を使用したタイムライン分析のスケーリング
  • AI 支援分析のための Timesketch の機能強化
  • AI 支援分析のための Valhuntir の紹介
  • Valhuntir の機能とアーキテクチャ

企業全体におけるインシデント対応とハンティング | 高度な攻撃者検知とアンチフォレンジック対策

セクション5では、調査に必要なファイル、ファイルフラグメント、ファイルメタデータの復元に焦点を当てます。これらのトレースアーティファクトは、アナリストが削除されたログ、攻撃ツール、マルウェア設定情報、盗み出されたデータなどを検出するのに役立ちます。侵入事例に非常に関連していますが、これらの手法はほぼすべてのフォレンジック調査に適用できます。

取り上げられるトピック

• ボリュームシャドウコピー分析
• 高度なNTFSファイルシステム戦術
• 高度な証拠復旧

ラボ

• ボリュームシャドウスナップショット分析
• NTFSを使用したアンチフォレンジック分析
• 高度なデータ復旧

概要

高度な攻撃者は常に進化を続けています。私たちもそれに追いつく必要があります。

攻撃者は通常、侵害したシステム上で自身の存在を隠蔽するための手段を講じます。フォレンジック対策の中には比較的容易に検出できるものもありますが、オペレーティングシステムとファイルシステムに関する深い知識を必要とするものもあります。そのため、フォレンジックアナリストやインシデント対応担当者は、重要な痕跡が残る可能性のあるオペレーティングシステムとファイルシステムの内部構造を深く理解することが重要です。このセクションでは、攻撃者が削除したと考えたファイル、ファイル断片、メタデータを復元する方法を学びます。これらの痕跡から、攻撃者のツール、マルウェアの設定、データ漏えい活動を明らかにすることができます。

ラボの詳細

トピックスの詳細

APT脅威グループ インシデント対応チャレンジ

この非常に充実した、現実的な企業侵入演習では、Windowsエンタープライズ環境全体への実際の侵入事例を用いて、これらすべてを網羅します。システムが最初にどのように侵害されたかを明らかにし、攻撃者のラテラルムーブメントを通じて他の侵害システムを見つけ出し、データ窃取によって盗まれた知的財産を特定することが求められます。

概要

最終的な侵入ラボを解くには、Windows 10および11ワークステーション、DMZサーバー、ドメインコントローラー、社内開発サーバー、ホスト型Exchangeメールなど、30以上のシステム上のアーティファクトを調査する必要があります。このコースでは、高度な脅威との闘いにおいて数十年の経験を持つ講師陣が監修する、実際の攻撃を調査する実践的な経験を積むことができます。

トピックスの詳細

識別とスコープ設定：

封じ込めと脅威インテリジェンスの収集：

修復と復旧：

• どの程度のレベルのアカウント侵害が発生しましたか？修復中にパスワードの完全なリセットは必要ですか？
• インシデント中に発見された攻撃者の手法とツールに基づいて、このインシデントからの修復と復旧に推奨される手順は何ですか？
• 再構築が必要なシステムは何ですか？
• ブロックする必要があるIPアドレスは何ですか？
• これらの攻撃者が再び現れた場合、その速度を遅らせたり阻止したりするために、どのような対策を講じるべきでしょうか？
• これらの侵入者をネットワーク内で再び検出するために、どのような推奨事項がありますか？