SECURITY 642

SEC642 PC設定詳細

重要! 次の手順に従ってシステムを構成してください。

このコースに完全に参加するには、適切に構成されたシステムが必要です。これらの指示を注意深く読み、従わないと、このコースに不可欠な実践的な演習に参加できないため、講義への参加を満足できないままにしてしまう可能性があります。したがって、指定されたすべての要件を満たすシステムをご用意いただくことを強くお勧めします。

ノートＰＣの要件

• CPU： x64互換 2.0+ GHzプロセッサ以上
• HDD/SSD：20GB以上の空き容量
• RAM：8GB（最低4GB、8GB以上を推奨）

ホストオペレーティングシステム

Windows 10、macOS 10.15.x以降、またはLinuxの最新バージョンで、後述するVmwareの仮想化製品をインストールして実行できること。最新のUSB 3.0デバイスを利用するために適切なドライバとパッチがインストールされていることを確認するため、講義の開始前にホストオペレーティングシステムを完全に更新する必要があります。Linuxホストを使用するユーザーは、適切なカーネルまたはFUSEモジュールを使用してexFATパーティションにアクセスできなければなりません。
注：M1プロセッサーを使用しているAppleシステムは、現時点では必要とする仮想化を実行できないため使用できません。

VMware

VMware Workstation Pro 15.5.x、VMware Player 15.5.x、またはFusion 11.5.x以降のバージョンを講義の開始前にダウンロードしてインストールします。VMware WorkstationまたはFusionのライセンス版を所有していない場合は、VMwareから無料の30日間試用版をダウンロードできます。VMwareのWebサイトでトライアルに登録すると、期限付きのシリアル番号が送信されます。

VirtualBoxやHyper-Vなどの他の仮想化ソフトウェアは、講義中、互換性に関する問題やトラブルシューティング上の問題が発生する可能性があるため、適切ではありません。

Windows 10上のVMware Workstation ProやVMware Playerは、Windows 10 Credential GuardやDevice Guardテクノロジーとの適合性がありません。システムでこれらの機能が有効になっている場合は、このドキュメント(https://sansorg.egnyte.com/dl/wO5QUU3BK5/Power_Computing_-_Generic_Laptop_Requirements_Checklist_v2.0.docx_)の指示に従って、講義の期間中は機能を無効にしてください。

重要な注意

このコースでは通常必要ありませんが、演習によってはアンチウイルスツールを一時的に無効にする必要がある場合があります。そのためにはアンチウイルスツールの設定ができる管理者権限が必要です。ほとんどのアンチウイルスツールは関連するサービスやプロセスが終了しても機能するため、アンチウイルスツールのサービスやプロセスを終了するだけの計画は立てないでください。多くの企業向け管理クライアントでは、アンチウイルスツールを無効にするために、Administratorアカウントのパスワードとは異なるパスワードを必要としています。アンチウイルスツールの管理者パスワードをご用意ください。

演習では、講義用のネットワークに接続します。いかなる攻撃も、演習のルールやSANSの倫理ポリシーに違反することですが、お持ちのノートパソコンが攻撃されてしまう可能性があります。システムに機密データを保存しないでください。受講生の誰かがワークショップであなたのシステムを攻撃したような場合においても、SANSは責任を負いません。

適切なノートPCを持ってきて事前に準備しておくことにより、このコースを通じた発見・学びが最大化され、同時に多くの楽しみが得られることでしょう。

コースメディアはダウンロードで配信されます。授業で使用するメディアファイルは大容量で、40～50GBのものもあります。ダウンロードに必要な時間は様々な要因に左右されるため、所要時間を見積もることはできませんが、非常に時間がかかってしまう場合もあります。メールよりダウンロードリンクを取得したら、コースメディアのダウンロードを開始してください。コースメディアは授業初日すぐに必要になります。開始前夜などにダウンロードを開始すると、失敗する可能性が高くなりますので、時間に余裕をもってご準備ください。

SANSでは、PDF形式のテキストの提供を開始しました。さらに、一部のクラスではPDFに加えて電子ブックを使用しています。電子ブックを使用するクラスは今後増えていく予定です。セカンドモニターやタブレット端末を使って、授業の資料を見られるようにしておくと便利です。

そのWebアプリケーションは、現代の高度な攻撃手法による猛攻に耐えられるものですか?

最新のWebアプリケーションは、新しいテクノロジを採用して、洗練され、より重要な業務をサポートするように複雑になっています。ベーシックなHTMLによるリクエストとレスポンスの時代はとっくに過ぎ去っています。HTTPというプロトコルや最新の複雑なWebアプリケーションは、驚異的な速さで進化していっています。高可用性Webクラスタや、クラウド導入への期待を受け、Webアプリケーションはバックエンドインフラストラクチャへの負荷を軽減しつつより小さなパケットで多くの機能を提供することを志向しています。暗号化、WebSockets、HTTP/2など、さまざまな要素が登場する新しい時代へようこそ。あなたが今現在持っているウェブアプリケーションの評価・ペネトレーションテストのスキルは、このような印象的な新技術を評価して安全を確保するのに十分ですか？

最先端のスキルを駆使して、Webアプリケーションをテストする準備はできていますか?

このペネトレーションテストに関するトレーニングでは、最新のWebアプリケーションと次世代のテクノロジーをテストするのに必要となる高度なスキルと技術について学習します。このコースでは、講義、実環境での経験、実践的な演習を組み合わせ、長期間稼働し続けているような自社開発のWebシステムから最先端のインターネット対応アプリケーションまで、セキュリティをテストするための手法について説明します。最終日のコースでは Capture-the-Flag コンテストが開催されます。このコンテストでは、それまでの5日間で習得した知識を、実際のテクノロジーをベースに作られた興味深い環境で試してみることができます。

高度なWebアプリケーション活用スキルの実践的な学習

このコースでは、まず、現代の複雑なアプリケーションの多くが脆弱性をかかえているであろうと考えられる高度な攻撃テクニックについて調べていきます。最新のWebフレームワークやWebバックエンドについて学び、Webアプリケーションに関連する暗号化について調べ、Webで使用されている暗号化についても深く掘り下げていきます。具体的には、アプリケーション内で使用されている暗号化の種類を識別するための技術や、暗号化を悪用する方法などを学んでいきます。次に、Webアプリケーションやモバイル・アプリケーションなどのフロントエンドについて確認し、HTTP/2やWebSocketなどの新しいプロトコルを確認していきます。コースの最後のセクションで行われるCapture-the-Flagコンペティションの前には、Webアプリケーションファイアウォール、フィルタリング、およびその他の保護技術などをバイパスする方法について焦点を当てていきます。

このコースで学ぶこと

• 最新のWebフレームワーク、テクノロジー、およびバックエンドの脆弱性を発見して攻撃に利用する方法
• HTTP/2、Webソケット、Node.jsなどの特定のテクノロジーをテストや攻撃に利用するスキル
• 現代的なウェブアプリケーションで利用される暗号化技術において、脆弱性を評価し発見する方法
• 企業内で使用されているモバイルバックエンドやWebサービスをテストおよび評価するスキル
• カスタムソフトウェア、Webフレームワーク、Webアプリケーションファイアウォールの防御を識別し、バイパスする方法

このコースでできるようになること

• Cross-Site Request Forgery (XSRF) とエクスプロイトを組み合わせ、高度なLocal File Include (LFI) /Remote File Include (RFI) 、Blind SQLインジェクション (SQLi) 、およびCross-Site Scripting (XSS) を実行する
• Mass Assignments、Type Juggling、Object Serializationなど、バックエンド言語に共通する高度な脆弱性を悪用する
• ExpressJS、Node.js、NoSQLに対するJavaScriptベースのインジェクションを実行する
• SharePointやWordPressなど、CMS(コンテンツ管理システム)の特別なテスト方法を理解する
• Webアプリケーションおよびフレームワーク内の暗号化実装を特定し、悪用する
• SOAPやREST Webサービス、その他のデータストアにおけるXMLとXPathの脆弱性を発見する
• ツールやテクニックを使用してHTTP/2やWebソケットを操作し、利用する
• システムを悪用するために、Webアプリケーションファイアウォールやアプリケーションフィルタリングを特定し、回避する

受講生が受け取るもの

• Burp Suite Proや最新のオープンソースのペネトレーションテストツールを含む、SEC 642用のSlingshot VMのコピー
• コースのテキスト（スライド）、受講者向けのノート、演習などを含む6冊のテキスト
  
  

• Webペネトレーションテスター
• レッドチームのメンバー
• 脆弱性評価の担当者
• ネットワークペネトレーションテストの担当者
• セキュリティコンサルタント
• 開発者
• QAテスター
• システム管理者
• ITマネージャ
• システム設計の担当者
  
  

Webペネトレーションテストのテクニックと方法論をしっかり理解していることが参加の前提条件です。受講生は、HTTPプロトコル、HTML、およびWebアプリケーションに精通している必要があります。最低1~2年間のWebペネトレーションテストの経験や、GIAC GWAPT認定の取得、SANS SEC 542コースの受講経験などがこれらの前提条件を満たしています。