FORENSICS 578

FOR578 PC設定詳細

講義の全てのコンテンツに参加するためには、適切に設定されたノートPCが必要です。この指示に従わないと、このコースの演習に参加することができず、満足のいく授業を受けることができない可能性が高いです。そのため、以下の条件をすべて満たすシステムを用意することを強くお勧めします。

講義の前にシステムをバックアップしてください。SANSは、システムまたはデータに対して責任を負うことはできませんので、システムに保存されている機密データは残さないようにしておいてください。

ノートパソコンのハードウェア要件

• CPU： 64ビットIntel i5/i7（第8世代以降）、またはAMD同等品。このクラスでは、64ビット、2.0GHz以上のプロセッサーが必須。
• 重要： Appleシリコンを搭載したデバイスは必要な仮想化を行うことができないため、このコースでは一切使用できません。
• 「Intel-VTx」や「AMD-V」拡張機能など、仮想化技術を有効にするためのBIOS設定が必要です。変更が必要な場合に備えて、BIOSがパスワードで保護されている場合は、絶対にアクセスできるようにしてください。
• 16GB以上のRAMが必要です。
• 100GB以上のストレージ空き容量が必要です。
• 利用可能なUSB 3.0 Type-Aポートが1つ以上あること。新しいノートパソコンには、Type-CからType-Aへのアダプタが必要な場合があります。エンドポイントプロテクションソフトウェアの中にはUSBデバイスの使用を禁止しているものもありますので、授業前にUSBドライブでシステムをテストしてください。
• ワイヤレスネットワーク（802.11規格）が必要です。教室では有線のインターネット接続はできません。

ホスト構成およびソフトウェア要件

• ホストOSは、Windows 10、Windows 11、またはmacOS 10.15.x以降の最新バージョンである必要があります。
• 授業前にホスト・オペレーティング・システムを完全にアップデートし、正しいドライバとパッチがインストールされていることを確認してください。
• Linuxホストはバリエーションが多いため、教室ではサポートしていません。Linuxをホストとして使用する場合、コース教材および/またはVMと連動するように設定する責任は各自にあります。
• ローカル管理者アクセスが必要です。(これは絶対に必要です。ITチームにそうでないと言わせないでください)。受講期間中、会社がこのアクセスを許可しない場合は、別のノートパソコンを持参するよう手配してください。
• ウイルス対策ソフトやエンドポイント保護ソフトが無効になっていること、完全に削除されていること、またはそのための管理者権限を持っていることを確認してください。私たちのコースの多くは、オペレーティングシステムへの完全な管理者アクセスを必要とし、これらの製品はラボの達成を妨げる可能性があります。
• 退出トラフィックのフィルタリングは、あなたのコースのラボの達成を妨げる可能性があります。ファイアウォールは無効にするか、無効にするための管理者権限を持ってください。
• ホストにインストールされているMicrosoft Office (バージョンは問いません)。なお、Officeの試用版ソフトウェアはオンラインでダウンロードできます（30日間無料）。
• VMware Workstation Pro 16.2.X+またはVMware Player 16.2.X+（Windows10ホスト用）、VMware Workstation Pro 17.0.0+またはVMware Player 17.0.0+（Windows11ホスト用）、VMWare Fusion Pro 12.2+またはVMware Fusion Player 11.5+（macOSホスト用）をクラス開始前にダウンロードし、インストールしてください。VMware Workstation ProまたはVMware Fusion Proのライセンスをお持ちでない方は、VMwareから30日間の無料トライアル版をダウンロードできます。VMwareのウェブサイトからトライアルに登録すると、期間限定のシリアル番号が送られてきます。また、VMware Workstation PlayerはVMware Workstation Proよりも機能が少ないことに注意してください。Windowsホスト・システムを使用している場合は、よりシームレスな学生体験のためにWorkstation Proをお勧めします。
• Windowsホストでは、VMware製品はHyper-Vハイパーバイザーと共存できない場合があります。VMwareが仮想マシンを起動できることを確認してください。そのためには、Hyper-Vを無効にする必要があります。Hyper-V、Device Guard、および Credential Guard を無効にする方法は、コース教材に付属のセットアップ・ドキュメントに記載されています。
• 7-Zip (Windows ホスト用) または Keka (macOS ホスト用) をダウンロードしてインストールします。これらのツールもダウンロードしたコース教材に含まれています。

コースのメディアは、ダウンロード版で配信されるようになりました。多くは40～50GB、中には100GBを超えるものもあります。ダウンロードに必要な時間は様々な要因に左右されるため、所要時間を見積もることはできませんが、非常に時間がかかってしまう場合もあります。メールよりダウンロードリンクを取得したら、コースメディアのダウンロードを開始してください。コースメディアは授業初日すぐに必要になります。開始前夜などにダウンロードを開始すると、失敗する可能性が高くなりますので、時間に余裕をもってご準備ください。

コース教材には「セットアップ手順」という文書が含まれています。この文書には、ライブ・クラスのイベントに参加する前、またはオンライン・クラスを開始する前に行わなければならない重要な手順の詳細が記載されています。これらの手順を完了するには、30分以上かかる場合があります。セカンドモニターやタブレット端末を使って、授業の資料を見られるようにしておくと便利です。

ノートパソコンの設定に関して追加で質問がある場合は、sans-info@nri-secure.co.jp （NRIセキュアテクノロジーズ）にお問い合わせください。ただし、米国と問合せを行う関係上時間を要する場合がございます。お急ぎの方はlaptop_prep@sans.orgに直接お問い合わせください。（英文）

攻撃者から教わることは膨大です！

すべてのセキュリティ専門家に対して、FOR578：サイバースレットインテリジェンスコースへの参加を推奨します。このコースでは、今までに学習してきた他の技術トレーニングとは異なり、既存のスキルを補強しながらセキュリティスキルセットの強固な基盤を確立できる構造化分析に重点を置いています。

本コースでは、以下のようにセキュリティのあらゆる分野を通じたインテリジェンス能力の確立を支援します。

• 複雑なシナリオを理解したうえで、統合、活用するための分析スキル
• スレットモデリングなどを通じたインテリジェンス要件の特定、作成
• スレットインテリジェンスの戦術、運用、戦略レベルにおけるスキルの理解
• スレットインテリジェンスの生成と、集中型および標的型の脅威の検出、および未然防止
• 敵対者のデータを収集するための様々な情報源と、それらの利活用方法
• 悪意あるインテリジェンスコストを最小限に抑えるための、外部情報検証
• YARA や STIX/TAXII などの形式によるで Indicators of Compromise(IOC)を作成
• 敵の戦術、技術、手順を理解し、キルチェーン、ダイヤモンドモデル、MITRE ATT&CKなどのフレームワークの活用
• セキュリティのために構造化された分析手法の確立

セキュリティ専門家は自らをアナリストと呼ぶのが一般的です。しかし、単に技術トレーニングに参加するのではなく、構造化分析に関するトレーニングの受講や体得した人はどれ程いるでしょうか？どちらも重要ですが、アナリストは分析に必要な考え方の訓練に焦点を当てることはほとんどありません。このコースでは、既存の知識を補完し、セキュリティチームの新しいベストプラクティスを確立するための新しい考え方、方法論、テクニックを学びます。適切な分析スキルは、ディフェンダーが日常的に曝される複雑な状況での手掛かりとなります。

敵対者の意図や機会、攻撃能力に関する分析は、一般的にサイバースレットインテリジェンスとして知られています。インテリジェンスはデータフィードではなく、ツールからもたらされるものでもありません。インテリジェンスは、重要な知識のギャップやお互いに譲歩が難しい点を明らかにするだけではなく、組織の要件に答える実行可能な情報であるべきです。敵対者に関する知識の収集や分類、あるいは抽出の結果は、敵対者に優位性をあなたの組織に与える、仮に攻撃が行なわれたとしても、それらの経験から学び進化してゆくものです。

したがって、サイバースレットインテリジェンスは、洗練された脅威に対処すべくレスポンスや識別の能力を確立、あるいは高めようとする組織にとって、これ以上ない支援ができるでしょう。マルウェアは敵対者のツールですが、サイバースレットインテリジェンスは、適切な訓練と権限を与えられた職員によって整理された、本当の脅威である人間に対処することに焦点が当てられています。

敵対者の情報は、すべてのセキュリティチームにとって重要です。レッドチームは、敵対者の手法を理解して、その技術を再現してみる必要があります。セキュリティオペレーションセンターでは、侵入に関する対処の優先順位付けの方法を知り、すぐに注意が必要なものに迅速に対処する必要があるでしょう。インシデント対応チームは、対象となる検知情報について迅速に内容を把握し対応する方法について実用的な情報が必要であり、脆弱性を管理するグループは、優先順位付けのために最も重要だと判断できる脆弱性の情報と、それらによってもたらされるリスクを理解する必要があります。また、スレットハンティングチームは、新しい脅威を発見するために敵対者の思考や挙動について理解をしなければなりません。

言い換えれば、サイバースレットインテリジェンスは、敵対者に対応するために必要な全てのセキュリティプラクティスを明らかにすることなのです。 FOR578：サイバースレットインテリジェンスは、進化する脅威の状況をこれまで以上に深く理解し、その脅威に正確かつ効果的に対処するために必要な戦術的な運用、および戦略的に取り組まれたサイバースレットインテリジェンスのスキルを通じて、セキュリティチームや組織を支援できるようなノウハウを習得することができます。

• セキュリティ実務担当者の方、必見です。このコースは、レッドチームからインシデント対応者まで、あらゆるセキュリティスキルセットに完璧にマッチしています。このコースは、分析スキルに重点を置いています

• 複雑なセキュリティインシデントや侵入に対応するインシデントレスポンスチームのメンバーで、企業内の侵害されたシステムを検出、調査、修復、回復する方法を知っておく必要がある方

• 脅威をより完全に理解し、そこからどのように学ぶことで、より効果的に脅威を追い詰め、その背後にあるスパイ活動に対抗できるようになろうとしている脅威ハンター
• ネットワーク環境における攻撃者を特定しようとするハンティング作業をサポートするセキュリティ・オペレーション・センターの要員と情報セキュリティの熟練者

• デジタルフォレンジックアナリストとマルウェアアナリストで、ファイルシステムのフォレンジック、技術的に高度な敵の調査、インシデントレスポンス戦術、高度な侵入調査についての理解を深めたい方

• 高度な侵入調査とインシデントレスポンスを習得し、従来のホストベースのデジタル・フォレンジックを超えて調査スキルを拡大したい連邦捜査官および警察官（法執行官）
• 技術的なスキルを活かして、インテリジェンスチームを構築したり、組織内でインテリジェンスを活用したいと考えている技術管理者
• 分析スキルを次のレベルに引き上げたいと考えているSANSトレーニングの受講経験者

GIAC Cyber Threat Intelligence

GIAC Cyber Threat Intelligence (GCTI)認証は、サイバー脅威インテリジェンスの技術を科学に移し、知識を体系化していくために重要なものです。

• 戦略的、運用的、戦術的なサイバー脅威インテリジェンスの応用と基礎
• オープンソース・インテリジェンスとキャンペーン

• インテリジェンスの応用と侵入分析

• インテリジェンスの分析、アトリビューション、データセットの収集と保存

• キルチェーン、ダイヤモンドモデル、行動指針のマトリックス
• 収集源としてのマルウェア、ピボット、インテリジェンスの共有