FORENSICS 509

FOR509 PC設定詳細

重要!次の手順に従ってシステムを構成してください。

このコースに全て参加するには、適切に構成されたシステムが必要です。次の指示を注意深く読んで従っていただけない場合、このコースに不可欠となっている演習に参加できず、講義を満足できないままにしてしまう可能性があります。指定されたすべての要件を満たすシステムをご用意いただくことを強くお勧めします。

講義の前にシステムのバックアップを取ってください。また、システムに機密データを保存しないようにしてください。SANSはシステムやデータに対して責任を負いません。

ノートパソコンのハードウェア要件

• CPU： 64ビットIntel i5/i7（第8世代以降）、またはAMD同等品。このクラスでは、64ビット、2.0GHz以上のプロセッサーが必須です。
• 重要： アップルシリコンデバイスは必要な仮想化を行うことができないため、このコースでは一切使用できません。
• 「Intel-VTx」や「AMD-V」拡張機能などの仮想化技術を有効にするには、BIOS設定が必要です。変更が必要な場合に備えて、BIOSがパスワードで保護されている場合は、絶対にアクセスできるようにしてください。
• 16GB以上のRAMが必要です。
• 350GB以上のストレージ空き容量が必要です。
• 利用可能なUSB 3.0 Type-Aポートが1つ以上あること。新しいノートパソコンには、Type-CからType-Aへのアダプタが必要な場合があります。エンドポイント保護ソフトウェアの中にはUSBデバイスの使用を禁止しているものもありますので、授業前にUSBドライブでシステムをテストしてください。
• ワイヤレスネットワーク（802.11規格）が必要です。教室では有線のインターネット接続はできません。

ノートパソコンのホストOSとソフトウェア要件

• ホスト・オペレーティング・システムは、Windows 10、Windows 11、またはmacOS 10.15.x以降の最新バージョンである必要があります。
• 授業前にホストOSを完全にアップデートし、正しいドライバとパッチがインストールされていることを確認してください。
• Linuxホストはバリエーションが多いため、教室ではサポートしていません。Linuxをホストとして使用する場合、コース教材および/またはVMと連動するように設定する責任は各自にあります。
• ローカル管理者アクセスが必要です。(これは絶対に必要です。ITチームにそうでないと言わせないでください)。受講期間中、会社がこのアクセスを許可しない場合は、別のノートパソコンを持参するよう手配してください。
• ウイルス対策ソフトやエンドポイント保護ソフトが無効になっていること、完全に削除されていること、またはそのための管理者権限を持っていることを確認してください。私たちのコースの多くは、オペレーティングシステムへの完全な管理者アクセスを必要とし、これらの製品はラボの達成を妨げる可能性があります。
• アウトバウンドトラフィックのフィルタリングは、あなたのコースのラボの達成を妨げる可能性があります。ファイアウォールは無効にするか、無効にするための管理者権限を持ってください。
• VMware Workstation Pro 16.2.X+またはVMware Player 16.2.X+（Windows10ホスト用）、VMware Workstation Pro 17.0.0+またはVMware Player 17.0.0+（Windows11ホスト用）、VMWare Fusion Pro 12.2+またはVMware Fusion Player 11.5+（macOSホスト用）をクラス開始前にダウンロードし、インストールしてください。VMware Workstation ProまたはVMware Fusion Proのライセンスをお持ちでない方は、VMwareから30日間の無料トライアル版をダウンロードできます。VMwareのウェブサイトからトライアルに登録すると、期間限定のシリアル番号が送られてきます。また、VMware Workstation PlayerはVMware Workstation Proよりも機能が少ないことに注意してください。Windowsホスト・システムを使用している場合は、よりシームレスな学生体験のためにWorkstation Proをお勧めします。
• Windowsホストでは、VMware製品はHyper-Vハイパーバイザーと共存できない場合があります。VMwareが仮想マシンを起動できることを確認してください。そのためには、Hyper-Vを無効にする必要があります。Hyper-V、Device Guard、およびCredential Guardを無効にする方法は、コース教材に付属のセットアップ・ドキュメントに記載されています。
• 7-Zip (Windows ホスト用) または Keka (macOS ホスト用) をダウンロードしてインストールします。これらのツールもダウンロードしたコース教材に含まれています。

LiveOnlineでのコースメディアの事前準備、テキストについて

コースのメディアがダウンロード版で配信されます。授業で使用するメディアファイルは大容量で、多くは40～50GBの範囲で、中には100GBを超えるものもあります。ダウンロードに必要な時間は様々な要因に左右されるため、所要時間を見積もることはできませんが、非常に時間がかかってしまう場合もあります。メールよりダウンロードリンクを取得したら、コースメディアのダウンロードを開始してください。コースメディアは授業初日すぐに必要になります。開始前夜などにダウンロードを開始すると、失敗する可能性が高くなりますので、時間に余裕をもってご準備ください。

コース教材には「セットアップ手順」という文書が含まれています。この文書には、ライブ・クラスに参加する前、またはオンライン・クラスを開始する前に行うべき重要な手順が詳細に記載されています。この手順を完了するには、30分以上かかる場合があります。

あなたのクラスでは、ラボの指示に電子ワークブックを使用します。この新しい環境では、2台目のモニターおよび/またはタブレット端末が、コースのラボで作業している間、授業資料を表示させておくのに便利です。

ノートパソコンの設定に関して追加で質問がある場合は、sans-info@nri-secure.co.jp （NRIセキュアテクノロジーズ）にお問い合わせください。ただし、米国と問合せを行う関係上時間を要する場合がございます。お急ぎの方はlaptop_prep@sans.orgに直接お問い合わせください。

クラウドの中でおこっている嵐について、理解しましょう。

本コースでは、以下の内容の理解を支援します。

• クラウドのみで利用が可能なフォレンジック用のデータ理解
• DFIRのためのクラウド・ロギングのベスト・プラクティスの実装
• Microsoft Azure、AWS、Google Cloud Platformのリソースを活用した証拠収集の方法
  
• Microsoft 365とGoogle Workspaceのログを分析者が確認する方法
• フォレンジックプロセスをクラウドに移行し、データ処理を高速化する方法

このクラスは、主にログ解析のクラスで、調査員がクラウドベースの調査技術に迅速に対応できるようにするためのものです。クラウド上でどのようなログが取得できるのか、ログはデフォルトでオンになっているのか、ログに含まれるイベントの意味をどう解釈するのか、などを知ることは非常に重要です。コース全体にわたる多数の実践的なラボ演習により、コースに参加されるフォレンジック調査の担当者は、過去の著名な事件や調査に基づき作成された証拠に触れることができます。そして、データをどこから引き出し、どうやって分析して悪事を見つけられるか、その方法を学ぶことになります。データは、一貫したラボ体験を保証するために、クラウド経由で直接アクセスするのではなく、VMで利用できるようになります。本コースを通して学べること：

• データの場所にかかわらず、効果的に状況を把握、識別、情報収集するためのツール、テクニック、手順を学び、マスターする
• クラウド環境のみで利用できる新しいデータの把握と活用
• クラウドネイティブツールを活用し、従来のホストエビデンスの取得・抽出を行う
• Elastic Stackなどのスケーラブルなテクノロジを使用して、大規模なデータセットを迅速にパースおよびフィルタリングする
• さまざまなクラウド環境で利用可能なデータを理解する

本コースのトピック

• クラウドインフラストラクチャとIRデータソース
  
• Microsoft 365とGraph APIの調査
  
• AWSでのインシデント対応
• AWSインシデントレスポンス
• Kubernetesクラウドのハイレベルログ
  
• Google Workspaceの調査
  
• GCPでのインシデント対応

ビジネス上の利点

• クラウドに適用されるデジタルフォレンジックとインシデントレスポンスについて理解する
• クラウド内の悪意のある活動を特定する
• DFIRにクラウドネイティブツールとサービスをコスト効率よく使用する
• クラウドインシデントに対応するための適切な準備を整える
• 侵害されたクラウドのデプロイメントにおける敵の滞留時間を短縮する

次に学ぶべきこと

• FOR500: Windows Forensic Analysis
  
• FOR508: Advanced Incident Response, Threat Hunting & Digital Forensics
  
• FOR572: Advanced Network Forensics: Threat Hunting, Analysis, and Incident Response
  
• SEC541: Cloud Security Monitoring and Threat Detection
  
• SEC510: Public Cloud Security: AWS, Azure & GCP
  
• SEC588: Cloud Penetration Testing

• インシデント対応チームに所属しており、ソフトウェア、インフラストラクチャ、プラットフォームに影響を与えるセキュリティインシデント/侵入に対応する必要がある方またはエンタープライズクラウド全体で侵害されたシステムを検知、調査、修復、および復旧する方法を知る必要がある方
• 脅威について完全に理解し、より効果的に脅威を追跡し、その策略に対抗するために学んでいく方法を求めている、脅威ハンター
• SOCアナリストで、アラートについての理解を深め、イベントの優先順位付けに必要なスキルを構築し、クラウド・ログ・ソースを完全に活用することを検討されている方
• 経験豊富なデジタルフォレンジックアナリストで、クラウドベースのフォレンジックに対する理解を強化したいと考えている方
• データ漏洩事件やデータ侵害への対応を直接サポートする、情報セキュリティの専門家
• 高度な侵入調査とインシデント対応を習得し、従来のホストベースのフォレンジック調査の枠を超えて調査スキルを拡張したいと考えている捜査担当者および法執行の専門家
• SANS FOR 500、FOR 508、SEC 541、SEC 504の既受講生で、クラウドベースのフォレンジック調査をスキルに追加したいと考えている方

GCFR認定資格は、3つの主要なクラウドプロバイダーにおけるインシデントの追跡および対応能力を検証するものです。GCFR認定者は、急速に変化する企業のクラウド環境を管理するために必要なログの収集と解釈のスキルに精通しています。

• クラウド環境におけるログの生成、収集、保存、保持
• クラウドリソースに影響を与える悪意ある活動や異常な活動の特定
• フォレンジック調査のためのクラウド環境からのデータ抽出