学習内容
FOR577 Linux Threat Hunting & Incident Response は、高度な持続的脅威（APT）である国家レベルの敵対勢力、組織犯罪シンジケート、組織的な犯罪行為など、企業ネットワーク内のさまざまな脅威を追い詰め、特定し、対抗し、回復するための高度なスキルを、対応者や脅威調査チームに提供します。常に更新されるこのコースは、エリートレスポンダーやハンターが実際の侵害ケースに対処するために使用している、実践的なインシデントレスポンスと脅威ハンティングの戦術とテクニックを教えることで、今日のインシデントに対処します。
FOR577では、Linuxプラットフォームへの攻撃を特定、分析、対応するために必要なスキルと、既存のコントロールを回避するステルス攻撃者を見つけるための脅威ハンティングテクニックを学びます。Linux プラットフォームに特化しながらも、証拠を収集し、分析し、その分析に基づいて意思決定を行うという、共通の基盤の上に構築されています。SANS SIFT Workstationに組み込まれたツールを使用することで、このコースは、対応者が高度な侵入に迅速かつ効果的に対応できるようにする包括的なソリューションを提供します。
このコースでは、エンドポイントの証拠、ログデータ、および日々のインシデントレスポンス活動で遭遇するその他の成果物を使用して、現実的な攻撃を中心に構築された最終的なキャップストーンに至るまで、多くの演習に取り組みます。偵察から初期侵入を経て、組織のネットワーク全体を横方向に移動するという、多段階の攻撃を行う高度な脅威行為者の証拠を発見することになります。キャップストーンでは、コース中に学んだことをすべてまとめ、発見したことを発表し、セキュリティをどのように改善できるかについて提言します。
習得できるスキル
- さまざまな敵対者を効果的にハント、検出、封じ込め、インシデントを修復するために必要なツール、テクニック、手順を使用する
- SIFTワークステーションを使用したLinuxシステムのハントとインシデントレスポンスの実行
- 分析技術により、コマンド＆コントロール（C2）チャネルに発信されるマルウェアのビーコンを特定し、追跡する。
- ビーチヘッドとスピアフィッシング攻撃のメカニズムを特定することで、侵害がどのように発生したかを判断します。
- 詳細なタイムラインとスーパー・タイムライン分析により、分析対象のシステムにおけるユーザーと攻撃者の活動を秒単位で追跡します。
- 企業内の横方向の動きとピボット（分岐点）を特定し、攻撃者がどのように検知されずにシステムからシステムへ移行するかを示します。
- 攻撃者が重要なデータを収集し、それらのデータを流出収集ポイントに移す際のデータの動きを追跡します。
- APTのような攻撃者が企業ネットワークから機密データを流出させるために使用するアーカイブおよびアーカイブ・ファイル（.rar、.tarなど）を復元し、分析します。
- 収集したデータを使用して、企業全体にわたって効果的な修復を実行します。
ビジネス上の要点
- プロアクティブな侵害評価を実施するために、攻撃者の手口を理解する。
- 新しい攻撃手法と利用可能なフォレンジック・アーチファクトをより深く理解し、重要な攻撃経路に焦点を当てることで、検知能力を向上させる。
- 脅威インテリジェンスを開発し、標的となる敵対者を追跡し、将来の侵入イベントに備える。
- アンチフォレンジックや技術的対象からのデータ隠蔽に対抗するための高度なフォレンジックスキルを構築し、社内外の調査で活用できるようにする。
コーストピック
- インシデントレスポンスとデジタルフォレンジックを実行するための、SIFT Workstationの幅広いオープンソースツールの高度な使用法
- 国家行為者、組織犯罪、ハクティビストなどの高度な敵対者の狩猟と対応
- 侵害の迅速な特定を支援する脅威ハンティング技術
- 迅速なインシデント対応分析と侵害評価
- インシデント対応と侵入フォレンジックの方法論
- インシデントレスポンスと脅威ハンティングにおけるディスクとメモリを含む証拠収集
- 内部横移動の分析と検出
- 迅速かつ深く掘り下げたタイムラインの作成と分析
- 敵の脅威インテリジェンスの開発、侵害の指標、および使用法
- サイバーキルチェーン戦略
- 侵入事例に対応し調査するための段階的な戦術と手順
本コースの提供教材
このコースでは、インシデント対応者やフォレンジックアナリストが高度な攻撃を調査し対応する方法を学ぶために、SIFTワークステーションを幅広く使用します。このワークステーションには、何百ものフリーおよびオープンソースのツールが含まれており、最新のフォレンジックおよびインシデントレスポンスの商用レスポンスツールスイートと容易に一致します。仮想マシンは、ハンズオン・クラスの演習の多くで使用されます。SIFTワークステーションの特徴は以下の通りです：
- Ubuntu Linux LTSベース
- 64ビットベースシステム
- メモリ使用率の向上
- DFIRパッケージの自動更新とカスタマイズ
- 最新のフォレンジックツールと技術
- フォレンジックに取り組む準備が整ったVMwareアプライアンス
- LinuxとWindowsの相互互換性
- 拡張されたファイルシステムのサポート（NTFS、HFS、EXFATなど）
- 電子ダウンロードパッケージ
- APT侵入によって侵害されたシステムのケースイメージ（ディスクとメモリ
- SIFT Workstation仮想マシン、ツール、ドキュメント
- 演習書は250ページを超え、インシデント対応の達人になるための詳細なステップ・バイ・ステップの手順と例が記載されています。
