SECURITY549

このコースを完全に受講するには、適切に構成されたシステムが必要です。これらの指示をよく読んで従わない場合、コースのハンズオン演習に完全に参加することはできません。そのため、指定された要件をすべて満たすシステムを持参してください。

授業前にシステムをバックアップしてください。できれば、機密データや重要なデータが保存されていないシステムを使用してください。SANSはお客様のシステムやデータについて一切責任を負いません。

必須のSEC549ホスト構成とソフトウェア要件

• ホスト オペレーティング システムは、Windows 10、Windows 11、または macOS 10.15.x 以降の最新バージョンである必要があります。
• クラスの前にホスト オペレーティング システムを完全に更新して、適切なドライバーとパッチがインストールされていることを確認してください。
• Linux をホストとして使用することを選択した場合は、コース教材や VM で動作するように Linux を構成する責任はお客様のみが負うことになります。

SANSは、AWS、Azure、Google Cloudのクラウド環境へのアクセスを提供します。ただし、クラウドセキュリティ管理上の問題により、SMSを受信可能な有効な電話番号によるログイン認証が必要となる場合があります（仮想電話番号はご利用いただけません）。このような状況が発生した場合に備えて、クラウドプロバイダーに電話番号をご提供いただくようお願いいたします。

コース教材には「セットアップ手順」ドキュメントが含まれており、ライブクラスイベントへの参加やオンラインクラスの開始前に実行する必要がある重要な手順が詳細に説明されています。この手順を完了するには30分以上かかる場合があります。

クラスでは、ラボ資料と課題の配布にranges.ioを使用しています。ラボの指示の配布には、ブラウザでホストされる電子ワークブックを使用しています。クラウドウェブコンソールやdraw.ioのダイアグラムで作業している間、ラボの指示を常に確認できるように、2台目のモニターやタブレット端末があると便利です。

クラウドにおける脅威のメンタルモデルがないまま、アーキテクトはオンプレミスの世界で意図された設計パターンをクラウドシステムに強引に適用しようとし、クラウドの採用と近代化のスピードを妨げている。さらに悪いことに、クラウドにおける信頼の境界を識別できないために、アイデンティティやネットワークプレーンでのセキュリティ管理が欠落し、セキュリティの成果が上がらないという結果になる。SEC549では、クラウドセキュリティアーキテクチャを紹介します。このコースでは、クラウドの明確なメンタルモデルと利用可能な制御を習得し、分散された境界と見慣れない信頼境界を持つこの新しい、大きく異なる世界に脅威モデルを移行できるようにします。
そのためこのコースでは、セキュリティ・オペレーション・センターがクラウド上のインシデントを監視、検出、対応、回復できるようにするアーキテクチャについて深く掘り下げます。このエンタープライズ・クラウド・セキュリティ・アーキテクチャ・コースでは、クラウド・テレメトリの堅牢なロギングと、エッジで収集されたイベントと洞察の一元化によって、ビジネス目標を効果的にサポートする方法を学びます。このコースでは、アーキテクトがクラウド環境で適切なロギングが設定されていることを確認し、可用性を考慮した設計の必要性を強調したリカバリ戦略を策定できるようにします。
SEC549は、架空の企業のクラウド移行の旅と、その過程で遭遇する課題を中心に構成されている。クラウド・セキュリティ・アーキテクトを目指す学生は、一元化されたアイデンティティ・プランを段階的に導入し、クラウドでホストされるアプリケーションを有効にするためのセキュアなパターンを設計することが課題となる。分散型リソースへのアクセスを保護するための補完的なメカニズムとして、ネットワーク層とID層の両方の制御を詳しく取り上げる。特にクラウドの台頭と複数のクラウド・サービス・プロバイダーの採用により、断片化されたアイデンティティとその危険性についての議論を通して、アイデンティティを一元化することの重要性がこのコースの中核をなすものであることが示されます。受講生は、段階的なID統合を設計する際に使用される基本的な概念を学ぶことで、自信を持って同様の課題に取り組むことができるようになります。

「このコースはお勧めできる。このコースはセキュアな設計の多くの核心的な側面を突いています。さらに、クラウドセキュリティアーキテクチャと戦略の欠如、安全でない設計は、Cloud Security AllianceやOWASPのような組織によってトップリスクとして強調されています。クラウドセキュリティアーキテクチャのトピックは、一般的にもっと注目され、フォーカスされる必要がある。」

- Greg Lewis, SAP

業務に役立つポイント

• 黎明期のクラウド技術とその急速な普及がもたらすリスクの軽減
• 段階的なアプローチを計画することで、クラウド移行のリスクを低減する。
• 一元化により、アイデンティティの乱立や技術的負債を防ぐことができます。
• ハイレベルなガードレールを作ることでビジネスの成長を可能にする
• コストのかかるアンチパターンの定着を防ぐ
• 既存のアクセスパターンを改善することで、組織をゼロ・トラスト体制に移行させる。
• 効果的な条件付きアクセスポリシーを設計し、ビジネス主導のポリシー例外にガードレールを設置する方法を学ぶ。

習得できるスキル

• セキュアなエンタープライズ・クラウド・セキュリティ・アーキテクチャ・パターンによるビジネスの実現
• 建築パターンと現実のインフラを結びつける
• セキュアでスケーラブルなID基盤をクラウドで構築
• 組織の従業員IDを一元化し、スプロール化を防ぐ
• ハブ・アンド・スポーク・パターンを用いたマイクロセグメント・ネットワークの構築
• 縦および横方向のトラフィックを検査するための集中型ネットワーク・ファイアウォールの設定
• ネットワーク・ベースとアイデンティティ・ベースの両方のコントロールを組み込む方法を学ぶ
• クラウドホスティングされたデータリポジトリのデータ境界を作成する機能
• 組織全体で鍵管理サービス（KMS）リソースを一元化し、共有する。
• セキュリティ・オペレーションがクラウドで対応できるようにする
• サービス・モデル（IaaS、PaaS、SaaS）で利用可能なテレメトリーとロギングを理解する。
• ブレイクグラスアカウントを活用したリカバリープロセスの設計
• 段階的なクラウド移行に戦略的に取り組む
• 条件付きアクセス・ポリシーを導入して、リソースへのアクセスを保護し、アイデンティティ境界を強化する。

ラボの内容

SEC549の実習部分はユニークで、特にクラウドのためのアーキテクトを目指す学生に適している。各ラボは、アーキテクチャ図として提示されたアンチパターンを観察し、修正することで実施される。各ダイアグラムの「正しい」バージョンは、AWSのライブインフラストラクチャとして実装され、学生が構成を検討できるようになっている。このコースでは、受講生はエンタープライズスケールのAWS組織にアクセスすることができ、ラボやコースを通して議論されるすべての詳細を観察することができます。
コースの各セクションでは、3つの主要なクラウドすべてについてセキュリティ設計の考慮事項を議論していますが、AWSでの作業に重点を置いており、ラボはAWSの概念に基づいて構成されています。

シラバスの概要

• セクション1：クラウドにおけるIAM、3つの主要クラウドプロバイダーそれぞれの上位レベルのリソースコンテナ、企業規模のクラウド資産でガードレールを実施するための制限的ポリシーの使用方法について説明する基礎的なセクション。
• セクション2：ゼロ・トラストに重点を置き、クラウド・リソースへのアクセスを承認し、不正アクセスを防止するガードレールを構築するZT戦略を採用するために、クラウド・サービスをどのように利用するかについて説明する。
• セクション3：クラウドネットワークリソースをアットスケールで管理するには、アーキテクトがクラウドネイティブなネットワーク制御を理解する必要があります。ネットワーク設定の一元化、マイクロセグメンテーションの実施、トラフィック・インスペクション・アプライアンスの設定、アカウント間でのネットワーク・サービスの共有方法について学びます。
• セクション4：クラウド上のデータを保護するには、セキュリティチームはクラウドネイティブのデータ保護機能を検討する必要がある。クラウド・ネイティブ・ストレージとビッグデータ・サービスに保存されたデータを保護し、管理する方法を学ぶ。
• セクション5：このセクションでは、SOCの能力を向上させ、従来の手法をクラウドホスティング環境に適応させ、組織がワークロードをクラウドに移行する際にも堅牢な検知と対応を継続できるようにする方法に焦点を当てる。

以下はSEC549の前提条件となるコースまたは同等の経験である：

• SANS SEC488：Cloud Security Essentials、または3大クラウド（AWS、Azure、GCP）のいずれかを使用した実務経験
• AWSマネジメントコンソールに精通している

SEC549への準備

SEC549を受講する学生は、クラウドにおけるIDアクセス管理（IAM）のパターンを学ぶ機会があります。ロールベースのアクセス制御、属性ベースのアクセス制御、権限管理などのIAMの概念に基本的に精通していることが役に立ちますが、必須ではありません。
さらに、ネットワーク層におけるデプロイメントの安全性を確保するためのクラウドネイティブツールについても掘り下げていきます。ファイアウォール、ネットワーク・アクセス・コントロール・リスト、IPアドレッシングなど、ネットワークの概念についての基本的な理解があれば役に立ちますが、必須ではありません。