FORENSICS 572

FOR572 PC設定詳細

コースの全てのコンテンツに参加するためには、適切に設定されたノートPCが必要です。この指示に従わないと、このコースの演習に参加することができず、満足のいく講義を受けることができない可能性が高いです。そのため、次の条件をすべて満たすシステムを用意することを強くお勧めします。

コースの開始前にはシステムのバックアップを必ずおこなってください。また、機密データ/重要なデータはシステムに保存しないでください。SANSでは受講者のシステムやデータに責任を負うことができません。

FOR572 システムハードウェアの必須要件

• CPU: 64 ビット Intel i5/i7 (第 8 世代以降)、または 同等のAMDプロセッサ。このコースでは、x64ビット、2.0GHz 以上のプロセッサが必須です。
• 重要: Apple Silicon デバイスは必要な仮想化を実行できないため、このコースでは使用できません。
• BIOS設定で「Intel-VTx」や「AMD-V」拡張機能などの仮想化テクノロジーを有効にする必要があります。変更が必要な場合に備えて、BIOSがパスワードで保護されている場合は必ずアクセスできることを確認してください。
• 16GB以上のRAMが必要です。
• 350GB以上の空きストレージ容量が必要です。
• USB 3.0 Type-A ポートが少なくとも1つは必要です。新しいノートパソコンには、Type-C - Type-A 変換アダプターが必要になる場合があります。一部のエンドポイントプロテクションソフトウェアではUSBデバイスの使用を禁止しているため、受講前に USBドライブを使用してシステムをテストしてください。
• 無線ネットワーク(802.11規格)が必要です。会場には有線インターネットアクセスはありません。

FOR572 ホストの設定とソフトウェアの必須要件

• ホストオペレーティングシステムは、Windows 10、Windows 11、または macOS 10.15.x 以降の最新バージョンである必要があります。
• 受講前にホストオペレーティングシステムを更新して、適切なドライバーとパッチがインストールされていることを確認してください。
• Linuxホストは、バリエーションが多数あるため、会場ではサポートされていません。ホストとして Linux を使用することを選択した場合は、コース教材やVMと連携するようにLinuxを構成するのは受講者の責任となります。
• ローカル管理者アクセスが必要です。(これは絶対に必要です。ITチームから許可を得られない場合は許可しないでください。会社がコース期間中このアクセスを許可しない場合は、別のノートパソコンを持参する手配をする必要があります。)
• ウイルス対策ソフトウェアまたはエンドポイントプロテクションソフトウェアが無効になっているか、完全に削除されているか、または管理者権限を持っていることを確認してください。コースの多くは、オペレーティングシステムへの完全な管理者アクセスを必要とし、これらの製品が原因でラボを完了できない場合があります。
• 出力トラフィックのフィルタリングにより、コースのラボを完了できない場合があります。ファイアウォールを無効にするか、無効化するための管理者権限を持っている必要があります。
• Microsoft Office(任意のバージョン) またはOpenOfficeがホストにインストールされている必要があります。Office 試用版ソフトウェアはオンラインでダウンロードできます。(30日間無料)。
• 講座開始前に、VMware Workstation Pro 16.2.X以降 または VMware Player 16.2.X以降 (Windows 10 ホストの場合)、VMware Workstation Pro 17.0.0以降 または VMware Player 17.0.0以降 (Windows 11 ホストの場合)、または VMWare Fusion Pro 12.2以降 または VMware Fusion Player 11.5以降 (macOS ホストの場合) をダウンロードしてインストールしてください。VMware Workstation Proまたは VMware Fusion Proのライセンスをお持ちでない場合は、VMware から30日間の無料トライアルをダウンロードしてください。VMware のWebサイトでトライアルに登録すると、期間限定のシリアル番号が送信されます。また、VMware Workstation Playerが提供する機能は VMware Workstation Proよりも少ないことにも注意してください。Windowsホストシステムを使用している場合は、よりシームレスな受講者エクスペリエンスを実現するために Workstation Proをお勧めします。
• Windowsホストでは、VMware製品は Hyper-V ハイパーバイザーと共存しない場合あります。最適なエクスペリエンスを得るには、VMwareが仮想マシンを起動できることを確認してください。これには、Hyper-Vを無効にする必要がある場合があります。Hyper-V、Device Guard、Credential Guardを無効にする手順は、コース教材に付属のセットアップドキュメントに記載されています。
• 7-Zip(Windows ホストの場合) またはKeka(macOS ホストの場合)をダウンロードしてインストールしてください。これらのツールは、ダウンロードしたコース教材にも含まれています。

コースメディアはダウンロードで配信されます。クラスのメディアファイルは大きくなる可能性があります。多くは40〜50GBの範囲にありますが、一部は100GBを超えています。ダウンロードが完了するまでに十分な時間を確保してください。インターネット接続と速度は大きく異なり、さまざまな要因に依存します。したがって、資料のダウンロードにかかる時間を見積もることはできません。リンクを取得したらすぐにコースメディアのダウンロードを開始してください。講座の初日にすぐにコースメディアが必要になります。これらのファイルのダウンロードを開始するのは、講座の前夜まで待たないでください。

コース資料には、ライブクラスイベントへの参加、オンラインクラスの開始前に実行する必要がある重要な手順を詳しく説明した「セットアップ手順」ドキュメントが含まれています。これらの手順を完了するには、30分以上かかる場合があります。

コースでは、ラボの指示に電子ワークブックを使用しています。この新しい環境では、コースラボに取り組んでいる間、教材を見やすくするために、2台目のモニターやタブレット端末があると便利です。

現在の調査チームは、既知の証拠と最新のインテリジェンスを使用して、他の人が見逃したインシデントを明らかにし、脅威を積極的にハンティングしています。FOR572: 高度なネットワークフォレンジック: 脅威の追跡、分析、およびインシデント対応では、調査作業においてネットワーク通信とアーティファクトに重点を置くために必要な最も重要なスキルについて説明します。このネットワークフォレンジックコースでは、効率性と有効性に重点を置き、ネットワーク上の証拠を調査に統合するために必要な調査ツール、技術、手順に関する実用的な知識を習得します。このコースを修了すると、充実したツールボックスと、職場復帰初日から活用できる知識が得られます。
システムベースのフォレンジック知識をネットワークに活かしましょう。ネットワークの証拠を調査に組み込み、より優れた調査結果を提供し、作業をより迅速に完了させましょう。
ネットワークコンポーネントを持たないフォレンジック調査を行うことは非常にまれです。エンドポイントのフォレンジックは、DFIRの専門家にとって常に重要かつ基本的なスキルですが、ネットワーク通信を見落とすことは、犯罪が行われたときの防犯カメラの映像を無視するようなものです。侵入インシデント、データ侵害、従業員の不正使用のシナリオを扱う場合でも、積極的に攻撃者の発見することに従事する場合でも、ネットワークは多くの場合、インシデントの比類のない視点を提供します。その証拠は、意図を示したり、数か月以上活動している攻撃者を発見したり、犯罪が実際に発生したことを決定的に証明するのに役立つ可能性があります。

FOR572: Advanced Network Forensics: Threat Hunting, Analysis, and Incident Responseは、多数のユースケースを含む、現在の調査業務においてネットワーク通信とアーティファクトへの注目が高まっていることに対応するために必要な最も重要なスキルを網羅するように設計されています。多くの調査チームは、既存の証拠と新たに取得した脅威インテリジェンスを組み合わせ、これまで特定されていなかったインシデントの証拠を発見するプロアクティブな脅威ハンティングをスキルに組み込んでいます。また、インシデント後の調査と報告に重点を置くチームもあります。さらに、リアルタイムに攻撃者と関わり、被害者の環境から攻撃者を封じ込めて根絶しようとするチームもあります。このような状況などでは、攻撃者の通信から残された痕跡は、攻撃者の意図、能力、成功、失敗に関する貴重なビューを提供します。

FOR572では、過去に発生した、または現在も発生している通信を調べ、特徴付けるために必要な知識に焦点を当てています。最も熟練したリモート攻撃者が検出不可能なエクスプロイトでシステムを侵害した場合でも、システムはネットワーク経由で通信する必要があります。コマンド＆コントロールとデータ抽出チャネルがなければ、侵害されたコンピュータシステムの価値はほぼゼロに低下します。別の言い方をすれば、悪質な行為者は話しているので、私たちはその声に耳を傾けることを教えます。

このコースでは、効率性と有効性に重点を置き、ネットワーク上の証拠を調査に統合するために必要な調査ツール、手法、手順について説明します。このコースを修了すると、充実したツールボックスと、仕事に復帰した初日から活用できる知識を身につけることができます。高レベルのNetFlow分析、低レベルのpcapベースの分析、補助的なネットワークログ調査など、ネットワークの証拠のあらゆる側面を網羅します。数か月または数年分の貴重な証拠が蓄積されている可能性のある既存のインフラストラクチャデバイスを活用する方法や、インシデント発生中に新しい収集プラットフォームを配置する方法について解説します。

クライアントのサイトに対応するコンサルタント、サイバー犯罪の被害者を支援し、責任者の訴追を求める法執行機関の専門家、社内フォレンジック専門家、または専任の脅威ハンターであっても、このコースでは、実際のシナリオを実践的に体験し、業務のレベルに引き上げます。ネットワーク防御者は、より多くのインシデント対応と調査の責任を引き受けるため、セキュリティ運用に関する FOR572 の視点から恩恵を受けることができます。既存のエンドポイントベースのDFIRの経験を持つ人は、既存のオペレーティングシステムまたはデバイスの知識を、日常的に発生するネットワークベースの攻撃に直接適用できます。FOR572では、ディスクやメモリイメージを使用せずに、同じレベルの現実世界の問題を解決します。

FOR572のハンズオンラボのほとんどは、FOR508、Advanced Incident Response、Threat Hunting、およびDigital Forensicsの著者と共同で開発されました。これらの共有シナリオでは、ホストとネットワークの両方のアーティファクトを含むハイブリッドなフォレンジック調査アプローチが理想的である理由がすぐにわかります。私たちは主にネットワーク側に焦点を当てていますが、ホストの視点から追加のコンテキストが得られたり、ネットワークの視点からより深い洞察を得られたりする領域についても指摘します。FOR508の元受講生も将来の受講生も、これらの広範な証拠セット間の関連性を高く評価するでしょう。

このコースのハンズオンラボでは、パケットキャプチャと分析のための定評のあるtcpdumpやWireshark、アーティファクト抽出用のNetworkMinerなど、幅広いツールとプラットフォームを網羅しています。nfdump、tcpxtract、tcpflowなどのオープンソースツールも活用します。このコースに新たに追加されたツールには、無料のオープンソースのSOF-ELK®プラットフォームが含まれます。これは、Elasticスタックで事前構成され、DFIRおよびセキュリティ運用ワークフローに合わせて調整されたVMwareアプライアンスです。この「ビッグデータ」プラットフォームには、Elasticsearchストレージおよび検索データベース、Logstashの取り込みおよび解析エンジン、およびKibanaグラフィカルダッシュボードインターフェイスが含まれています。このプラットフォームは、カスタムSOF-ELK® 構成ファイルと組み合わせると、フォレンジック担当者はログとNetFlow分析のためのすぐに使用できるプラットフォームを提供します。大規模なフルパケット分析とハンティングのために、無料のオープンソースのArkimeプラットフォームも取り上げ、ハンズオンラボで使用します。すべての講座内のラボを通じて、数十万、あるいは数百万ものデータレコードを迅速かつ簡単に分析するためのシェルスクリプトスキルに重点的に取り組みます。

FOR572は上級コースで、初日から実践的な学習をスタートします。フォレンジック技術と方法論、フルスタックのネットワーキング知識(物理媒体からユーザー向けサービスまで)、Linuxシェルユーティリティなどあらゆるスキルを身につけてください。それらのスキルはすべて、コースの教材を通して犯罪と戦う際に役立ちます。1バイトずつ事例を解き明かしていきましょう。

コースのトピック

• パケットキャプチャアプリケーションとデータ
  • ネットワークに特化したフォレンジックプロセスに関する固有の考慮事項
  • ネットワーク上の証拠の種類とソース
  • 調査員にとってのネットワークアーキテクチャの課題と機会
  • 調査のOPSECとフットプリントに関する考慮事項
• ネットワークプロトコル解析
  • ハイパーテキスト転送プロトコル (HTTP)
  • ドメインネームサービス(DNS)
  • ファイル転送プロトコル (FTP)
  • サーバーメッセージブロック (SMB) および関連するMicrosoftプロトコル
  • シンプルメール転送プロトコル (SMTP)
• 市販のネットワークフォレンジックツール
• 自動化されたツールとライブラリ
• NetFlow
  • 概要
  • 収集アプローチ
  • オープンソースのNetFlowツール
• ワイヤレスネットワーク
  • ワイヤレストラフィックのキャプチャ
  • ワイヤレストラフィックからの有用なフォレンジックアーティファクト
  • 一般的な攻撃方法と検出
• ネットワーク調査を補完するログデータ
  • Syslog
  • Microsoft Windowsイベント転送
  • HTTPサーバーログ
  • ネットワークセキュリティ監視(NSM)プラットフォーム
  • ログの収集、集計、分析
  • Webプロキシサーバーの調査
• 暗号化
  • トランスポート層セキュリティ (TLS)
  • インターセプトなしのTLSクライアントのプロファイリング
  • 中間者攻撃とTLSインターセプト
• ディープパケットワーク
  • ネットワークプロトコルのリバースエンジニアリング
  • ペイロードの再構成

• 調査範囲をエンドポイントシステムからネットワークへと拡大しているインシデント対応チームのメンバーとフォレンジ担当者
• 新たなインテリジェンスと収集済みの証拠を組み合わせ、ネットワーク環境に既に侵入した攻撃者を積極的に追跡するハントチームのメンバー
• ネットワークフォレンジックの専門家を目指す法執行官、連邦捜査官、刑事
• ネットワーク環境内の攻撃者を特定しようとするハント活動をサポートするセキュリティオペレーションセンター(SOC)の担当者と情報セキュリティ担当者
• 調査やインシデント対応のワークロードが増加しているネットワーク防御担当者
• リスク管理、情報セキュリティへの影響の伝達、調査チームの管理のためにネットワークフォレンジックの理解を必要とする情報セキュリティ管理者
• 調査要件を最適に満たすようにネットワークを積極的に構築しているネットワークエンジニア
• ネットワーク調査がどのように行われるかを学びたい情報技術専門家
• コンピュータネットワークへの侵入・調査に関心があり、コンピュータフォレンジック、情報システム、情報セキュリティに関するの確かな知識を持つ方