ニュースレター登録
資料ダウンロード
お問い合わせ

SECURITY 599

Defeating Advanced Adversaries - Purple Team Tactics & Kill Chain Defenses

※本コースは中止となりました。次回開催をお待ちください。

Purple Team

English
日程

2024年10月28日(月)~2024年11月2日(土)

期間
6日間
講義時間

1日目:9:00-17:30
2日目~6日目:9:30-17:30

受講スタイル
Live Online
会場

◆LiveOnline形式
 オンライン

GIAC認定資格
GDAT
講師
Brian Almond|ブライアン アルモンド
SANS認定インストラクター候補
言語
英語 英語教材・同時通訳
定員
40名
CPEポイント
36 Points
受講料

早期割引価格:1,220,000 円(税込み 1,342,000 円)
※キャンペーン価格のため、他の割引の重複適用はできません。ご了承ください。

通常価格:1,350,000 円(税込み 1,485,000 円)

申込締切日
早期割引価格:2024年9月13日(金)
通常価格:2024年10月18日(金)
オプション
  • GIAC試験 160,000円(税込み 176,000円)
  • OnDemand  160,000円(税込み 176,000円)
  • NetWars Continuous  270,000円(税込み 297,500円)

※オプションの価格は、コース本体とセットでお申込みいただく場合のみ有効です。
※コース本体のお申込み後にGIAC試験オプションを追加される場合は、事務手数料10,000円(税込11,000円)を申し受けます。
※お申込み締切後はオプションの追加のお申込みを承ることができませんのでご了承ください。
※お申込み締切後にGIAC試験を追加する場合は、こちらのページ(英語)をご参照のうえ、GIACへ直接お申込みください。なお、コース本体とセットでお申込みいただいた場合は特典として模擬試験2回分が付きますが、GIACへ直接お申込みの場合は模擬試験2回分の特典はございません(別途購入可能)

受講に必要なPC環境

演習で使用するノートPCをご準備下さい。受講に必要なPC環境についてご確認ください。

重要!以下の説明をお読みになった上で、ご自身のノートPCをお持ちください。 受講に必要なPC環境についてご確認ください。

このコースに完全に参加するためには、正しく設定されたシステムが必要です。以降の説明を確認いただかないと、満足のいく授業が受けられない可能性が高いです。したがって、コースで指定されたすべての要件を満たすシステムで参加されることを強くお勧めします。

授業の前にシステムをバックアップしておくこと。より良い方法は、機密データやクリティカルなデータのないシステムを使用することです。SANSはあなたのシステムやデータについて責任を負いません。

ノートPCの必須ハードウェア要件

  • CPU: 64ビットIntel i5/i7(第8世代以降)、またはAMD同等品。このクラスでは、64ビット、2.0GHz以上のプロセッサーが必須。
  • 重要: Appleシリコンを搭載したデバイスは必要な仮想化を行うことができないため、このコースでは一切使用できません。
  • 「Intel-VTx」や「AMD-V」拡張機能など、仮想化技術を有効にするためのBIOS設定が必要です。変更が必要な場合に備えて、BIOSがパスワードで保護されている場合は、絶対にアクセスできるようにしてください。
  • 8GB以上のRAMが必要です。
  • 75GB以上のストレージ空き容量が必要です。
  • 使用可能なUSB 3.0 Type-Aポートが1つ以上あること。新しいノートパソコンには、Type-CからType-Aへのアダプタが必要な場合があります。エンドポイントプロテクションソフトウェアの中にはUSBデバイスの使用を禁止しているものもありますので、授業前にUSBドライブでシステムをテストしてください。
  • ワイヤレスネットワーク(802.11規格)が必要です。教室では有線のインターネット接続はできません。

ホストの必須構成とソフトウェア要件

  • ホストOSはWindows 10、Windows 11、またはmacOS 10.15.x以降の最新バージョンである必要があります。
  • 授業前にホスト OS を完全にアップデートし、正しいドライバとパッチがインストールされていることを確認してください。
  • Linuxホストはバリエーションが多いため、教室ではサポートしていません。Linuxをホストとして使用する場合、コース教材および/またはVMと連動するように設定する責任は各自にあります。
  • ローカル管理者アクセスが必要です。(これは絶対に必要です。ITチームにそうでないと言わせないでください)。受講期間中、会社がこのアクセスを許可しない場合は、別のノートパソコンを持参するよう手配してください。
  • ウイルス対策ソフトやエンドポイント保護ソフトが無効になっていること、完全に削除されていること、またはそのための管理者権限を持っていることを確認してください。私たちのコースの多くは、オペレーティングシステムへの完全な管理者アクセスを必要とし、これらの製品はラボの達成を妨げる可能性があります。
  • アウトバウンドトラフィックのフィルタリングは、あなたのコースのラボの達成を妨げる可能性があります。ファイアウォールは無効にするか、無効にするための管理者権限を持ってください。
  • Microsoft Office (バージョンは問いません) または OpenOffice がホストにインストールされていること。なお、Officeの試用版ソフトウェアはオンラインでダウンロードできます(30日間無料)。
  • VMware Workstation Pro 16.2.X+またはVMware Player 16.2.X+(Windows10ホスト用)、VMware Workstation Pro 17.0.0+またはVMware Player 17.0.0+(Windows11ホスト用)、VMWare Fusion Pro 12.2+またはVMware Fusion Player 11.5+(macOSホスト用)をクラス開始前にダウンロードし、インストールしてください。VMware Workstation ProまたはVMware Fusion Proのライセンスをお持ちでない方は、VMwareから30日間の無料トライアル版をダウンロードできます。VMwareのウェブサイトからトライアルに登録すると、期間限定のシリアル番号が送られてきます。また、VMware Workstation PlayerはVMware Workstation Proよりも機能が少ないことに注意してください。Windowsホスト・システムを使用している場合は、よりシームレスな学生体験のためにWorkstation Proをお勧めします。
  • Windowsホストでは、VMware製品はHyper-Vハイパーバイザーと共存できない場合があります。VMwareが仮想マシンを起動できることを確認してください。そのためには、Hyper-Vを無効にする必要があります。Hyper-V、Device Guard、および Credential Guard を無効にする方法は、コース教材に付属のセットアップ・ドキュメントに記載されています。
  • 7-Zip (Windows ホスト用) または Keka (macOS ホスト用) をダウンロードしてインストールします。これらのツールもダウンロードしたコース教材に含まれています。

コースのメディアがダウンロードで配信されるようになりました。授業で使用するメディアファイルは大容量で、4050GBのものもあります。ダウンロードが完了するまでに十分な時間を確保する必要があります。インターネット接続の速度次第でダウンロードに要する時間はは大きく異なり、様々な要因に左右されるため、教材のダウンロードにかかる時間を正確に見積もることはできません。リンクを取得したら、すぐにコースメディアのダウンロードを開始してください。コースメディアは授業初日にすぐに必要になります。授業が始まる前夜になるまでダウンロードを開始するのを待っていると、失敗する可能性が高まります。また、SANSでは、PDF形式のテキストの提供を始めており、さらに、一部のクラスではPDFに加えて電子ワークブックを使用しています。電子ワークブックを使用しているクラスは急速に増えていくと思われます。このような新しい環境では、講師がプレゼンテーションを行っている間、あるいは演習に取り組んでいる間も授業の資料を確認できるようにしておくために、セカンドモニターやタブレット端末を利用すると効率が上がります。

ノートパソコンの設定に関して追加で質問がある場合は、info@sans-japan.jp(NRIセキュアテクノロジーズ)にお問い合わせください。ただし、米国と問合せを行う関係上時間を要する場合がございます。お急ぎの方はlaptop_prep@sans.orgに直接お問い合わせください(英文)。

SEC599 コース概要

あなたは、私たちの仮想組織「SYNCTECHLABS」がサイバーセキュリティ能力を構築するのを助けるために雇われたばかりだ。初日、上司があなたに言った: 「私たちは最近のサイバーセキュリティのトレンドレポートを見て、私たちは筋書きを失ったように感じています。高度な持続的脅威、ランサムウェア、サービス拒否...。どこから手をつければいいのかわからないんです。

サイバー脅威は増加の一途をたどっています。ランサムウェアの手口は中小企業から大企業まで同様に影響を及ぼしており、国家に支援された敵対者は、最も貴重な王冠の宝石へのアクセスを取得しようとしています。SEC599 SEC599:Defeating Advanced Adversaries - Purple Team Tactics & Kill Chain Defensesは、今日の脅威に打ち勝つために必要な知識とノウハウを提供します。予防のみの戦略では不十分であることを認識し、敵対者の阻止、検知、対応を目的としたセキュリティコントロールを紹介します。

コース執筆者のスティーブン・シムズとエリック・ヴァン・バッゲンハウト(ともにGIACセキュリティエキスパートの資格を持つ)は、侵入テストとインシデント対応を通じてサイバー攻撃がどのように機能するかについて深い理解を築いた実践的な実務家です。侵入テストコースを教えているとき、彼らはしばしば質問を受けました: 「この種の攻撃を防ぐには、あるいは検知するにはどうすればいいのでしょうか?これだ!SEC599では、攻撃を防ぐ方法を実例を挙げて説明します。このコースでは、20以上のラボと終日のDefend-the-Flag演習が行われ、受講生は仮想組織をその環境に対するさまざまな攻撃の波から守ることを試みます。

6つのパートからなるこのコースは、徹底的なケーススタディを通して最近の攻撃を分析することから始まります。どのようなタイプの攻撃が発生しているかを説明し、サイバー・キル・チェーンやMITRE ATT&CKフレームワークなど、敵の行動に関する公式な記述を紹介します。また、攻撃の仕組みを理解するために、セクション1の演習では、当社の仮想組織「SYNCTECHLABS」を危険にさらしていただきます。

セクション2、3、4、5では、サイバー攻撃を防止、検知、対応するために、どのように効果的なセキュリティ管理を実施するかについて説明します。取り上げるトピックは以下の通りです:

  • MITRE ATT&CK を組織内の「共通言語」として活用する。
  • ペイロードを分析するための独自のCuckooサンドボックスソリューションの構築
  • スクリプトの実行を改善するための効果的なグループポリシーの開発(PowerShell、Windows Script Host、VBA、HTAなどを含む)
  • スクリプトコントロールの主要なバイパス戦略を明らかにする(アンマネージドPowershell、AMSIバイパスなど)
  • ExploitGuardとアプリケーションホワイトリストを使用した0-dayエクスプロイトの阻止
  • アプリケーション・ホワイトリストにおける主要なバイパス戦略のハイライト(AppLockerにフォーカス)
  • マルウェアの永続性の検出と防止
  • セントラルログ分析ソリューションとしてのElasticスタックの活用
  • Sysmon、Windowsイベントモニタリング、グループポリシーによる横の動きの検出と防止
  • ネットワークトラフィック分析によるコマンド&コントロールのブロックと検出
  • 脅威インテリジェンスの活用によるセキュリティ態勢の改善

SEC599は盛況のうちに幕を閉じます。コース最終セクションの「Defend-the-Flag」では、ネットワークの安全性を維持するために、高度な敵対者と対戦します。あなたは、さまざまな攻撃の波から環境を守ることができるでしょうか?敵の勢いは止まりません。

本講座受講にあたっての前提

  • LinuxとWindows環境でCLI操作経験がある方
  • Windowsアクティブディレクトリについての基礎知識がある方
  • 基礎的なサイバーセキュリティのトピックスに関して理解している
  • TCP/IPおよびネットワークを理解している方

受講対象者

  • セキュリティアーキテクト
  • セキュリティエンジニア
  • レッドチームや侵入テストの担当者で、ブルーチームの技術がどのように攻撃を阻止できるかをよりよく理解したい方
  • どのようなセキュリティ対策を優先すべきかを理解したい技術的なセキュリティ管理者
  • セキュリティオペレーションセンターのアナリストやエンジニアで、敵のテクニックを検出する方法について理解を深めたい人
  • 永続的なサイバー敵対者がどのように活動し、IT環境をどのように改善すれば、インシデントの予防、検知、対応をより適切に行えるかを理解したい個人

※SEC599は、GIAC(GDAT)認定試験対象コースです。

GIAC Defending Advanced Threats

GDATは、攻撃的なセキュリティと防御的なセキュリティの両方のトピックを深く掘り下げてカバーするユニークな資格です。 GDAT認定は、持続的なサイバー敵対者がどのように活動し、IT環境をどのように改善すれば、インシデントの予防、検出、および対応を行えるかを証明します。

  • 高度な持続的脅威のモデルおよび手法
  • ペイロードの配信、搾取、搾取後の活動の検知と防止
  • 脅威ハンティングとインシデントレスポンスのためのインテリジェンスを得るためのサイバーディセプションの活用
  • 敵のエミュレーション

講義内容の一例

SEC599はSANS オンデマンドプラットフォームを活用し、本格的なブラウザでアクセスが可能な20以上のラボを利用することが可能です。各受講生には現実を模したテスト環境や全ての演習が1つのパッケージとして仮想環境で用意されていることから、環境依存による問題が排除されます。生徒用VMは、生徒が自宅で学習を続けられるように提供されます。
 

このコースで行う実践的なラボと演習の例では、以下のことが可能になります。

  • MITRE ATT&CK Navigatorを使用し、様々なテクニックを評価する。
  • MITRE ATT&CKを組織内の「共通言語」として活用する。
  • ペイロードを分析するための独自のCuckooサンドボックスソリューションの構築
  • スクリプトの実行を改善するための効果的なグループポリシーを策定する(PowerShell、Windows Script Host、VBA、HTAなどを含む)。
  • スクリプトコントロールの主要なバイパス戦略(アンマネージドPowershell、AMSIバイパスなど)を明らかにする
  • ExploitGuardとアプリケーションホワイトリストを使用した0-dayエクスプロイトの阻止
  • 以下を含んだアプリケーションホワイトリスト(AppLockerに注目)の主要なバイパス戦略
    • Autoruns OSQuery を使用したマルウェアの永続化の検出と回避

    • ログ解析の中心的なソリューションとしてElasticスタックの活用

    • SysmonWindowsイベント監視、グループポリシーによる横移動の検知と防止

    • SuricataZeekRITAを用いたネットワークトラフィック解析によるコマンド&コントロールのブロックと検出

    • MISPLokiVolatilityを使用した脅威インテリジェンスの活用によるセキュリティ体制の改善

コース開発者より

過去10年において、高度ペネトレーションテストやエクスプロイト構築コースの開発や講義を行ってきましたが、あるトレンドに気がつきました。1つのコースで、半数以上の受講生はペネトレーションテスターでもなければゼロデイ攻撃を作成するわけでもありませんでした。実は、そのほとんどは防御側の業務をされていて、攻撃者の手法を学習することで自身の環境の防御に役立てようとする方々でした。そこで私たちは、コース内容の多くの部分を敵やレッドチームテスターが用いるテクニックを打ち砕くコントロールの実装方法に割くことにしたのです。 
- Stephen Sims

私のInfoSecのキャリアにおいて初めの5年間はペネトレーションテストに従事し、その後、インシデントレスポンスの世界へよりシフトしていきました。その時、私はサイバーディフェンスへの構造的なアプローチの必要性を感じ始めました。一つのスタンドアロンソリューションやツール、テクニックでは限界があります。高度な敵を効果的に阻止したいのであれば、敵の攻撃手段の一つ一つに対抗するセキュリティ対策を実施できるような、徹底した防御対策をとる必要があります。SEC599は、高度な敵がどのように組織に侵入しようとしているかを深く理解することで、防御力を高めます。APTの攻撃サイクルは、攻撃の最初から最後まで一連の仕組みを技術的に深く理解することができます。Stephen Simsと私は、ペネトレーションテストとインシデントレスポンスの分野で豊富な経験を持っており、このコースを開発する上で理想的な立場にあります。このコースは、サイバーディフェンスのカリキュラムに欠けている部分を補ってくれるものだと信じています。敵がどのようにIT環境を侵害しているのか、また、敵のあらゆる動きをどのように防ぎ、検知し、さらには対応することができるのかを理解したいと考えているIT専門家にとって理想的なコースとなります。私は応用して学ぶことを強い信頼をおいているので、このコースはハンズオンが非常に豊富です。1週間を通して、20以上のラボや演習を行い、6日目には1日がかりの「Defend-the-Flag」演習を行います。
- Erik Van Buggenhout

SEC599は、Exploit Guardに関する興味深い洞察を与えてくれた。今まで受講したクラスの中で最高のラボでした。
- Jeremiah Hainly, The Hershey Company

  • DAY1
  • DAY2
  • DAY3
  • DAY4
  • DAY5
  • DAY6

Introduction and Reconnaissance(導入と調査・偵察)

6部構成からなるこの旅の1日目は、綿密なケーススタディを通じた最近の攻撃の分析から始まります。実際の状況で何が起こっているのかを説明し、CyberKillChainとMITRE ATT&CKのフレームワークを、攻撃者の戦術やテクニックを説明するための構造化されたアプローチとして紹介します。また、パープル・チーミングとは何か、それに関連する代表的なツール、組織内での最適な編成方法についても説明します。また、攻撃がどのように機能するかを理解するために、受講生は1日目の演習で、私たちの仮想組織「SYNCTECHLABS」への侵入を試みます。

演習

  • ワンクリックで全て解決...
  • SCTとSTIGを使ったドメインのハードニング
  • Kibana、ATT&CKナビゲーター、FlightSim
  • SpiderFootを使った自動的な偵察

トピック

  • コースの全体像とラボ環境の設定
    • コースの目的とラボ環境
    • そこでは何が起きているのか?
    • SYNCTECHLABSの解説
    • 演習:ワンクリックですべて解決...
  • 攻撃者エミュレーションとパープルチーム
    • 拡張されたKillChainの解説
    • パープルチームとは何か?
    • MITRE ATT&CKフレームワークと「パープルツール」
    • 防御と検知のためのキーコントロール
    • 演習:SCTとSTIGを使ったドメインのハードニング
    • 検出スタックの構築
    • 演習:Kibana、ATT&CKナビゲーター、FlightSim
  • 偵察・調査
    • 偵察・調査 -ターゲットを知るために
    • 演習:SpiderFootを使った自動的な偵察

Payload Delivery and Execution(ペイロードのデリバリーと実行)

2日目では、敵が組織内でペイロードの配信と実行をどのように試みるかを取り上げます。まず、攻撃者のテクニック(例:悪意のある実行ファイルやスクリプトの作成)を取り上げ、次に、ペイロードの配信(例:フィッシングメール)と実行(例:添付ファイルのダブルクリック)の両方をどのように阻止するかに焦点を当てます。また、共通のペイロード記述言語としてYARA、ベンダに依存しないユースケース記述言語としてSIGMAについて解説します。

演習

  • Windows における NTLMv2 スニッフィングおよびリレー攻撃の阻止
  • CuckooとYARAを使用したサンドボックスの構築
  • AppLockerの設定
  • 組織内でのスクリプト実行の制御
  • スクリプトブロックロギング、Sysmon、SIGMAを使った検知
  • ProcFilter を用いたペイロード実行の防御

トピック

  • 共通のデリバリーメカニズム
  • ペイロードの配信阻止
    • リムーバブルメディアとネットワーク(NAC、MDMなど)の制御
    • 演習:Windows における NTLMv2 スニッフィングおよびリレー攻撃の阻止
    • メールコントロール、Webプロキシ、マルウェアのサンドボックス化
    • YARA - 一般的なペイロード記述言語
    • 演習:CuckooとYARAを使ったサンドボックスの構築
  • ペイロードの実行防御
    • 初期実行 - アプリケーションのホワイトリスト化
    • 演習:AppLockerの設定
    • 初期実行 - Visual Basic、JS、HTA、PowerShell
    • 演習:組織内でのスクリプト実行の制御
    • 初期実行 - どのように検出するか?
    • 演習:スクリプトブロックログ、Sysmon、SIGMAを使った検知
    • YARAルールの運用 - ProcFilterの導入
    • 演習:ProcFilter を用いたペイロード実行の防御

Exploitation, Persistence, and Command and Control(エクスプロイト、持続性、Command&Control(C&C))

3日目では、まず、どのようにしてエクスプロイトを防御したり検出したりすることができるかを解説します。セキュリティがソフトウェア開発ライフサイクルの不可欠な一部であるべきであること、そして、脆弱性のあるソフトウェアの作成を防ぐためにどのように役立つかを示します。また、パッチ管理が全体像の中でどのように適合するかについても解説します。
次に、コンパイル(ControlFlowGuard など)とランタイム(ExploitGuard)の両方でのエクスプロイト緩和テクニックに焦点を当てます。異なるエクスプロイト緩和テクニックが何をカバーしているのか(しようとしているのか)、また、それらがどれほど効果的なのかについて、詳細な解説を行います。次に、典型的な永続化戦略と、Autoruns と OSQuery を使用してどのように検出できるかについて説明します。最後に、Command&Control(C&C)チャンネルがどのように設定されているか、そして検知と防御のために防御者がどのような制御が可能かを説明します。

演習

  • コンパイル時間の制御を用いたエクスプロイトの緩和
  • ExploitGuardを用いたエクスプロイトの緩和
  • AutorunsとOSQueryを使用した持続性のキャッチ
  • Suricata、JA3、RITAを用いたCommand&Control(C&C)チャンネルの検知

トピック

  • エクスプロイトからのアプリケーションの防御
    • ソフトウエア開発ライフサイクル(SDL)と脅威モデリング
    • パッチマネジメント
    • エクスプロイト緩和テクニック
    • 演習:コンパイル時間の制御を用いたエクスプロイトの緩和
    • エクスプロイト緩和テクニック - ExploitGuard,EMET など
    • 演習:ExploitGuardを用いたエクスプロイトの緩和 
  • インストールの回避
    • 典型的な永続性戦略
    • 攻撃者はどのようにして粘り強さを発揮するのか?
    • 演習:AutorunsとOSQueryを使用した持続性のキャッチ
  • Command&Control(C&C)の包囲
    • Command&Control(C&C)のチャンネルの検知
    • 演習:Suricata、JA3、RITAを用いたCommand&Control(C&C)チャンネルの検知

Lateral Movement(ラテラルムーブメント(横方向への移動))

4日目は、敵がどのようにして環境全体を横方向に移動するかに焦点を当てます。主なポイントは、Active Directory (AD) の構造とプロトコル (ローカルクレデンシャルの盗用、NTLMv2、Kerberosm など) にあります。Windows 特権のエスカレーション、UAC バイパス、(オーバー) Pass-the-Hash、Kerberoasting、シルバーチケットなどを含む、一般的な攻撃戦略を解説します。また、BloodHound を使用して、AD 環境を介した攻撃パスを開発する方法についても解説します。最後に、環境内での横方向の動きをどのように識別できるか、サイバー詐欺を利用して侵入者を現行犯逮捕する方法について説明します!

演習

  • LAPSの実装
  • ローカルWindowsの特権エスカレーションテクニック
  • クレデンシャルの漏洩に対抗するWindowsのハードニング
  • BloodHoundを使用した攻撃パスのマッピング
  • ケルベロス攻略戦略
  • ADにおけるラテラルムーブメント(横方向への移動)の検知

トピック

  • 管理権限でのアクセスの防御
    • Active Directoryのセキュリティ概念
    • 最小特権の原則とUAC
    • 演習:LAPSの実装
    • Windowsにおける特権エスカレーション技術
    • 演習:ローカルWindowsの特権エスカレーションテクニック
  • ADに対する主要な攻撃戦略
    • ローカル管理者権限を悪用して、より多くの資格情報を盗む
    • 演習:クレデンシャルの漏洩に対抗するWindowsのハードニング
    • BloodHound- ADの攻撃パスをマッピングする
    • 演習:BloodHoundを用いた攻撃パスのマッピング
    • ケルベロスアタック:Kerberoasting、シルバーチケット、Over-PtH
    • 演習:ケルベロス攻撃戦略
  • ラテラルムーブメント(横方向への移動)を検知するために
    • ADのラテラルムーブメントを検知するための主要なログ
    • 詐欺 - 敵を騙す
    • 演習:ADにおけるラテラルムーブメント(横方向への移動)の検知

Action on Objectives, Threat Hunting, and Incident Response(目標達成に向けたアクション、脅威ハンティング、インシデントレスポンス)

5日目は、一連の攻撃の最終段階における敵の動きを阻止する以下の点に注力します。

  • 攻撃者による「ドメイン支配」の状態を得る方法。これには、Golden Tickets、Skeleton Keys、DCSyncやDCShadowなどのディレクトリ・レプリケーション攻撃の使用が含まれます。
  • データ持ち出しの検知と阻止の方法
  • 脅威インテリジェンスを用いてCyberkillChainの防御側を支援する方法
  • 防御側における効果的なインシデントレスポンス

演習

  • ドメイン支配
  • データ持ち出しの検知
  • MISPとLokiによる脅威インテリジェンスの活用
  • OSQueryを用いた環境の調査
  • VolatilityとYarGenを使ったマルウェアの検出

トピック

  • ドメイン支配
    • ADの支配 -基礎戦略
    • Golden Thicet,Skelton Key.DCSync,DCShadow
    • domain dominanceの検出
    • 演習:ドメイン支配
  • データ持ち出し
    • 典型的な持ち出し戦略
    • 演習:データ持ち出しの検知
  • 脅威インテリジェンスの活用
    • 脅威インテリジェンスの定義
    • 演習:MISPとLokiによる脅威インテリジェンスの活用
  • 脅威ハンティングとインシデントレスポンス
    • 能動的な脅威ハンティングの戦略
    • 演習:OSQueryを用いた環境の調査
    • インシデントレスポンスのプロセス
    • 演習:VolatilityとYarGenを使ったマルウェアの検出

Advanced Persistent Threat Defender Capstone
(APT攻撃の防御のまとめ)

コースのクライマックスは、チーム対抗の「Defend-the-Flag」競技会です。第6章は、コースで学んだ内容を実践的に学ぶ章です。あなたのチームは複数のレベルとミッションを経て1週間を通じて学んだ最新のサイバーセキュリティコントロールを確実に習得します。このチャレンジングな演習では、楽しく、実践的で、チームベースのチャレンジで重要な原則を確認していきます。

なお、OnDemandの受講者は、この演習を個人単位で楽しむことができます。いつものように、SANSSMEOnDemandの受講者一人ひとりの体験をサポートします。

トピック

  • セキュリティコントロールの適用
  • 偵察
  • 武装
  • デリバリー
  • エクスプロイト
  • 設置
  • Command & Control(C&C)
  • 目的達成に向けた行動

NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。