SECURITY 540

クラウドアカウント

受講者用クラウドアカウントはSANSから提供されます。

SEC540コースラボには、AWSとAzureの両方のバージョンがあります。各クラウドの時間制限付きアカウントは、ラボを完了するために使用するためにSANSから提供されます。

• 授業開始の24時間前に自動的にAWSとAzureの両方のアカウントにアクセスできるようになります。
• 授業開始の前日にSANSアカウントにログインし、MyLabsページにアクセスしてクラウド認証情報をダウンロードすることができます。

重要 この説明書に従って設定したシステムを持参してください。

このコースに完全に参加するためには、適切に設定されたシステムが必要です。この説明をよく読み、それに従わなければ、このコースに不可欠な実習に参加できず、満足できないままクラスを去ることになるでしょう。従って、コースで指定されたすべての要件を満たすシステムを持って受講されることを強くお勧めします。

受講生はシステムのネットワーク設定を完全に制御できなければなりません。システムは、非標準ポートのHTTPS、SSH、SOCKS5トラフィックを組み合わせて使用して、クラウドでホストされるDevOpsサーバーと通信する必要があります。VPN、インターセプト・プロキシ、またはイグレス・ファイアウォール・フィルタを実行すると、DevOpsサーバーとの通信で接続問題が発生する可能性があります。学生は、ラボ環境に接続するためにこれらのサービスを設定または無効にすることができなければなりません。

以下の指示に従って設定した自分のラップトップを持参してください：

適切に設定されたシステムが必要です。コースを開始する前に、以下の指示をよく読み、正確に実行してください：

• ホストOS：最新版のWindows 10、macOS 10.15.x以降、またはLinuxで、後述のFirefoxブラウザをインストールし、実行できるもの。
• 授業前にホストOSを完全にアップデートし、正しいドライバとパッチがインストールされていることを確認してください。

ハードウェア要件

• CPU 64ビット2.5GHz以上のマルチコアプロセッサ以上
• ワイヤレス・イーサネット 802.11 B/G/N/AC
• ホストOSのローカル管理者アクセス
• Firefoxをインストールし、Firefox拡張機能を有効にし、新しい信頼できるルート証明書をマシンにインストールできること。

ソフトウェア要件

• 授業の前に、以下のソフトウェアがホストOSにインストールされていることを確認してください：
• Firefox 120.0
• Firefox SmartProxy 拡張機能: https://addons.mozilla.org/en-US/firefox/addon/smartproxy/

まとめ

コースを開始する前に

• ソリッドステートドライブ（SSD）、16GBのRAM、64ビットのオペレーティングシステムを搭載したノートパソコンをご用意ください。
• 最新バージョンのFirefoxとSmartProxyエクステンションをインストールする。
• sans.orgアカウントからSEC540ラボのセットアップ手順をダウンロードする。

これらの手順を完了したら、SANSプロバイダのクラウド・アカウントにアクセスして、SANSクラウド・セキュリティ・フライト・シミュレータに接続し、SEC540 DevOpsサーバに接続します。SEC540 DevOpsサーバーは、Firefoxブラウザからアクセスできる電子ワークブック、バージョン管理、CI/CD、シークレットマネージャー、ターミナルサービスをホストしています。

コース教材には、ライブクラスのイベントやオンラインクラスを開始する前に行う必要がある重要な手順を詳細に説明した「セットアップ手順」のドキュメントが含まれています。これらの手順を完了するには、30分以上かかる場合があります。

あなたのクラスでは、ラボの指示に電子ワークブックを使用します。この新しい環境では、2台目のモニターおよび/またはタブレット端末が、コースのラボで作業している間、授業資料を見えるようにしておくのに便利です。

ノートパソコンの仕様についてご質問がある場合は、サポートまでお問い合わせください。

「クラウドの進化は早い。自動化で遅れをとらないように。」

DevOps文化に悩む組織に共通するセキュリティ上の課題には、次のようなものがあります。

• 変更承認や監査要件に対して、前もってピアコードレビューやセキュリティ承認が行われない場合がある
• インフラストラクチャとアプリケーションのスキャンが欠落していると、攻撃者が侵入口を見つけ、システムを危険にさらす可能性がある。
• クラウドセキュリティの設定ミスにより、機密データが公開されてしまったり、新たなデータ流出経路が発生する可能性がある

セキュリティチームは、DevOpsツールの使用やクラウドファーストのベストプラクティスなどを基に組織がこれらの問題を防止できるよう支援することができます。このコースでは、開発、運用、セキュリティの専門家が、クラウドインフラとソフトウェアの構築と配信に使用されるDevOps手法を深く理こうｇ、実際に体験することができます。バージョン管理から継続的インテグレーション、クラウドワークロードの実行まで、DevOpsのワークフロー全体を攻撃し、強化する方法を学びます。各ステップにおいて、オンプレミスおよびクラウドホストシステムの信頼性、完全性、セキュリティを向上させるために必要なセキュリティコントロール、設定、ツールを探ります。また、クラウドインフラとサービスの構築、テスト、展開、監視のために、20以上のDevSecOpsセキュリティ制御を実装する方法を学びます。

「SANSでこれまで受講した中で最高の講義でした。このコースは、授業が終わった後、職場に戻ってすぐに日々の業務に生かすことができるコースです。私はすでにチームのSlackチャンネルで、この講義を受けるすべきだと伝えました。
- Brian Esperanza, Teradata 

「この講義に私が参加させた人は全員、このクラスを気に入っています。セキュリティの概念を超えて、最新の運用とDevOpsの仕組みを教えてくれるので、彼らにとっては変革のきっかけになりました。また、クラウドで開発したい、Infrastructure as Codeのような概念に触れたいと考えている開発者（まだクラウドで仕事をしていない人）にとっても、インパクトのある内容です。
- Brett Cumming

ビジネス上の学び 

• 最新のクラウドセキュリティとDevSecOpsの実践を理解するセキュリティチームを構築
• DevOps およびエンジニアリング チームと連携し、自動化されたパイプラインにセキュリティを導入
• クラウド サービスと自動化を活用してセキュリ ティ機能を向上
• クラウドへの移行やデジタルトランスフォーメーションに対応できる組織を構築

習得するスキル

• DevOps の仕組みを理解し、 成功の鍵を知る
• 自動化された CI/CD パイプラインとワークフローにセキュリティスキャンを導入する
• 運用部門から技術部門への継続的な監視のフィードバックループを構築する
• Infrastructure as Code (IaC) を使用した構成管理の自動化
• コンテナ技術（Docker や Kubernetes など）のセキュリティを確保する
• ネイティブのクラウドセキュリティサービスとサードパーティツールを使用して、システムとアプリケーションを保護する
• 継続的インテグレーションサーバとアプリケーションの秘密を安全に管理する
• クラウドのロギングとメトリックを統合する
• コンプライアンスとセキュリティポリシーの継続的なスキャンを実行する

ハンズオントレーニング

SEC540は、従来の講義にとどまらず、コースの各セクションで技術を実践的に応用することができるようになっています。各ラボには、ハンズオンテクニックを学び、適用するためのステップバイステップのガイドと、ガイドに従わずにどこまでできるかを確認し、スキルを伸ばしたい受講生のために「ノーヒント」アプローチも含まれています。このため、受講者はバックグラウンドに関係なく、自分に最適と思われる難易度を選ぶことができます。また、実践的なラボにより、理論だけでなく、各セキュリティ制御の設定と実装の方法を確実に理解することができます。

SEC540のラボ環境は、実際のDevOps環境をシミュレートしており、DevOpsコンテナイメージの構築、クラウド基盤、ゴールドイメージ作成の自動化、コンテナ化ワークロードのオーケストレーション、セキュリティスキャンの実行、コンプライアンス基準の適用を担う10以上の自動パイプラインを備えています。受講者は、技術的なスキルを磨き、さまざまなコマンドラインツール、プログラミング言語、およびマークアップテンプレートを使用して、セキュリティに焦点を当てた20以上の課題を自動化することに挑戦します。

SEC540コースのラボには、AWS版とAzure版の両方があります。受講者は、授業の最初に、コース期間中に使用するクラウドプロバイダを1つ選択します。最初のラボセットを終了した後は、各自の時間で両方のクラウドプロバイダのラボを行うことができます。

上級者向けには、毎日2時間のCloudWarsボーナスチャレンジが用意されています。これらのCloudWarsチャレンジは、クラウドとDevOpsツールチェーンのハンズオン体験を提供します。

セクション1：DevOpsツールチェーンの攻撃、バージョンコントロールのセキュリティ、静的解析の自動化、Vaultで秘密を守る、CloudWars：クラウドとDevOpsセキュリティのボーナスチャレンジ
セクション2：Infrastructure as Codeネットワークハードニング、ゴールドイメージの作成、コンテナセキュリティハードニング、動的解析の自動化、CloudWars：クラウドとDevOpsセキュリティのボーナスチャレンジ
セクション３：クラウドワークロードセキュリティの見直し、クラウドホスト型CI/CDガードレイル、継続的なセキュリティ監視、データ保護サービス、CloudWars：クラウドとDevOpsセキュリティのボーナスチャレンジ
セクション4：ブルー/グリーン環境を使用したセキュリティパッチの展開、署名付きURLによるコンテンツ配信ネットワークの保護、APIゲートウェイによるREST Webサービスの保護、サーバーレスおよびJSON WebトークンによるAPIの保護、CloudWars：クラウドとDevOpsセキュリティのボーナスチャレンジ
セクション5：クラウドセキュリティポスチャ管理、WAFによる攻撃のブロック、クラウドカストディアンによる自動修復、CloudWars：クラウドとDevOpsセキュリティのボーナスチャレンジ

“ラボは本当に素晴らしい。何時間もかけて作られたことが分かります。本当によく構築されていて、素晴らしい練習になりました。”
- David Heaton, Grange Insurance 

“ラボは、全体の中で最も良いものでした。よく整備されているので、これからも続けてください。”
- Richard Ackroyd, PwC

“使用するスクリプトが非常に豊富で、活用できる。”
 - Ravi Balla, GE

“楽しくてわかりやすい。すべてが魅力的に機能した。”
- Kenneth Jordan, Openaltar

シラバスの概要

セクション1：DevOpsツールチェーンの攻撃とハードニング
セクション2：クラウドインフラ、コンテナ、およびアプリケーションの保護
セクション3：クラウドワークロードの保護、監視、データ保護
セクション4：コンテンツ、API、サーバーレスの保護
セクション5：コンプライアンス、攻撃防御、修復の自動化

追加のフリー素材 

ポスター、チートシート、リスト

• Nine Key Cloud Security Concentrations & SWAT Checklist
• Fix Security Issues Left of Prod
• CWE/SANS Top 25 Most Dangerous Software Errors
• Security Web Application Technologies (SWAT) Checklist

ウェブキャスト

• Extending DevSecOps Security Controls into the Cloud: A SANS Survey
• Winning in the Dark: Defending Serverless Infrastructure in the Cloud
• Attacking and Defending Cloud Metadata Services
• Cloud Security and DevOps Automation: Keys for Modern Security Success

ツール

クラウドセキュリティツールの一覧はこちら、すべてSEC540に適用可能です。
https://www.sans.org/cloud-security/tools/

受け取るもの

• 印刷されたコースウェアと電子コースウェア
• コースの仮想マシン(VM)を含むISO
• 事前構築されたDevOps CI/CDツールチェーン、クラウドセキュリティ、およびDevSecOpsラボ演習を含むコースVM
• AWSとAzureのインフラストラクチャをデプロイするためのCloudFormationとTerraformのコード
• VMでホストされるWikiと、ラボ演習を完了するための電子ラボワークブック
• Infrastructure as Code (IaC) とコースのVMを無期限に使用し、コース終了後も学習を継続することが可能です。

次に受講すべきコース:

現在の職務や将来の計画に応じて、これらのコースのいずれかを受講することで、クラウドセキュリティの次のステップに進むことができます。

DevSecOps プロフェッショナル

• SEC522: Application Security: Web Applications, APIs, and Microservices

クラウドセキュリティエンジニア:

• SEC510: Public Cloud Security: AWS, Azure, and GCP
• SEC541: Cloud Security Attacker Techniques, Monitoring, and Threat Detection
• SEC588: Cloud Penetration Testing

クラウドセキュリティアーキテクト:

• SEC549: Enterprise Cloud Security Architecture

クラウドセキュリティマネージャー:

• MGT516: Managing Security Vulnerabilities: Enterprise and Cloud
• MGT520: Leading Cloud Security Design and Implementation

その他の受講における注意事項

ラボの準備とセットアップのため、最初のセッションの30分前に到着するように計画してください（ただし、Azureでラボを完了することを選択した場合は、Azureアカウントの取得をこれより前に行う必要があります）。この間に、学生はクラウドアカウントが適切に設定されていることを確認し、ノートパソコンで仮想化が有効になっていることを確認し、ラボのファイルをコピーし、Linux仮想マシンを起動します。ライブ授業（オンラインまたは対面）の場合、講師はコース開始時間の30分前にノートパソコンの準備とセットアップをサポートします。講義は、予定されたコース開始時刻に開始されます。
ラボを修了するために、受講生はパブリッククラウドプロバイダーにインフラをデプロイします。SANSから提供されるアカウントと、授業に持参する必要のある個人アカウントの詳細については、以下の「ノートパソコンの必要条件」をご確認ください。

• パブリッククラウド環境へのシステム移行を考えている方
• DevOps環境への移行を考えている方
• クラウドやDevOps Continuous Deliveryパイプラインにセキュリティチェックやテスト、その他のコントロールをどのように導入すればよいかを理解したい方
• DevOpsワークロードのクラウド（特にAWS）移行に興味がある方
• AWSが提供するクラウドアプリケーションセキュリティサービス活用に興味がある方
• 開発者
• ソフトウェアアーキテクト
• 運用エンジニア
• システム管理者
• セキュリティ分析官
• セキュリティエンジニア
• 監査人
• リスク管理者
• セキュリティコンサルタント
  
  

GIAC Cloud Security Automation

GCSA認定は、DevSecOpsの方法論とツールチェーンの理解、および自動化されたセキュアなDevOpsパイプライン全体にセキュリティ制御を実装するスキルを検証します。GCSA認定者は、クラウドホスト型システムの信頼性、完全性、およびセキュリティを向上させるために必要なツール、セキュリティ管理、および構成に関する知識を実証しています。

• DevOpsの基礎、DevSecOpsのセキュリティ制御、クラウドセキュリティの基礎、コードとしてのセキュアなインフラストラクチャ
• コードとしての構成管理; コンテナセキュリティ; クラウドアーキテクチャのセキュリティ確保; 継続的なセキュリティ監視
• データ保護と秘密管理、デプロイメントオーケストレーションと安全なコンテンツ配信
• マイクロサービスセキュリティ、サーバーレスセキュリティ、ランタイムセキュリティ自動化、コードとしてのコンプライアンス