ニュースレター登録
資料ダウンロード
お問い合わせ

FORENSICS 509

Enterprise Cloud Forensics and Incident Response

English
日程

2026年11月30日(月)~2026年12月5日(土)

期間
6日間
講義時間

1日目: 9:00-17:30
2日目~6日目: 9:30-17:30

受講スタイル
ハイブリッド (LiveOnlineとOnsiteの同時開催)
会場

◆LiveOnline形式
　オンライン

◆Onsite形式
　御茶ノ水トライエッジカンファレンス（https://try-edge.infield95.com/）
　東京都千代田区神田駿河台4-2-5 御茶ノ水NKビル（トライエッジ御茶ノ水）11階

お申込みが所定の人数に満たない場合、Onsite形式の開催は中止となります。
中止となった場合は、LiveOnline形式へ変更のうえご受講をお願いいたします。

※Onsite形式の開催可否のご案内は、2026年11月9日の週を目処としておりますが、状況により多少前後する場合がございます。
※研修当日は、指定された要件を満たしたノートPCをご持参ください。
※Onsite形式でご受講いただく場合は、研修会場にて印刷テキストを配付いたします。

GIAC認定資格
GCFR
講師
Joshua Lemon|ジョシュア レモン
SANSプリンシパルインストラクター
言語
英語　英語教材・同時通訳
定員
40名
CPEポイント
36 Points
受講料
早期割引価格：1,259,500円（税込み 1,385,450円）
※キャンペーン価格のため、他の割引の重複適用はできません。ご了承ください。
通常価格：1,334,500円（税込み 1,467,950円）
申込締切日
早期割引価格：2026年10月30日(金)
通常価格：2026年11月19日(木) 13:00
オプション
  • GIAC試験 価格：149,850円（税込み 164,835円）
  • OnDemand 価格：149,850円（税込み 164,835円）
  • NetWars Continuous 価格：266,250円（税込み 292,875円）
※オプションの価格は、コース本体とセットでお申込みいただく場合のみ有効です。
※コース本体のお申込み後にGIAC試験オプションを追加される場合は、事務手数料10,000円（税込11,000円）を申し受けます。
※お申込み締切後はオプションの追加のお申込みを承ることができませんのでご了承ください。
※お申込み締切後にGIAC試験を追加する場合は、こちらのページ（英語）をご参照のうえ、GIACへ直接お申込みください。なお、コース本体とセットでお申込みいただいた場合は特典として模擬試験2回分が付きますが、GIACへ直接お申込みの場合は模擬試験2回分の特典はございません（別途購入可能）

以下の「お申し込み」を押すと、NRIセキュアのお申し込みサイトに遷移します。

お申込み

受講に必要なPC環境

演習で使用するノートPCをご準備下さい。受講に必要なPC環境についてご確認ください。

FOR509 PC設定詳細

重要：次の手順に沿って設定されたノートPCをご準備ください。

このコースを受講するには、適切に構成されたシステムが必要です。これらの指示を注意深く読み、従わないと、コースの実践的な演習に完全に参加することはできません。そのため、指定された要件をすべて満たしたシステムを持ってお越しください。

受講前にシステムをバックアップしてください。機密データ/重要なデータが保存されていないシステムを使用することを推奨します。SANS は、受講者のシステムやデータに対して一切責任を負いません。

必須システムハードウェア要件

  • CPU: 64 ビット Intel i5/i7（第 8 世代以降）、または 同等のAMDプロセッサ。このコースでは、x64 ビット、2.0GHz以上のプロセッサが必須です。
  • 重要： Apple Silicon デバイスは必要な仮想化を実行できないため、このコースでは使用できません。
  • BIOS 設定で「Intel-VTx」や「AMD-V」拡張機能などの仮想化テクノロジーを有効にする必要があります。変更が必要な場合に備えて、BIOSがパスワードで保護されている場合は必ずアクセスできることを確認してください。
  • 16GB以上のRAMが必要です。
  • 350GB以上の空きストレージ容量が必要です。
  • USB 3.0 Type-A ポートが少なくとも1つは必要です。新しいノートパソコンには、Type-C - Type-A 変換アダプターが必要になる場合があります。一部のエンドポイントプロテクションソフトウェアでは USB デバイスの使用を妨げるため、受講前に USB ドライブのシステムをテストしてください。
  • 無線ネットワーク（802.11規格）が必要です。会場には有線インターネットアクセスはありません。

必須のホスト構成とソフトウェア要件

  • ホストオペレーティングシステムは、Windows 10、Windows 11、または macOS10.15.x以降の最新バージョンである必要があります。
  • 受講前にホストオペレーティングシステムを最新の状態に更新して、適切なドライバーとパッチがインストールされていることを確認してください。
  • Linuxホストは、バリエーションが多数あるため、本コースではサポートされていません。ホストとしてLinuxを使用することを選択した場合は、コース教材やVMと連携するようにLinuxを構成するのは受講生の責任となります。
  • ローカル管理者アクセスが必要です。（これは絶対に必要です。会社がコース期間中このアクセスを許可しない場合は、別のノートパソコンを持参する手配をする必要があります。）
  • ウイルス対策ソフトウェアまたはエンドポイントプロテクションソフトウェアが無効になっているか、完全に削除されているか、または管理者権限を確保しておく必要があります。多くのコースで、オペレーティングシステムへの完全な管理者アクセスを必要とし、これらの製品が原因でラボを完了できない場合があります。
  • 外部への通信に対するフィルタリングが行われていると、コースのラボを実施できない場合があります。ファイアウォールを無効にするか、無効化するための管理者権限が必要です。
  • 講座開始前に、Windowsホストの場合はVMware Workstation Proの最新バージョン、IntelベースのmacOSホストの場合はVMware Fusion Proの最新バージョンをダウンロードしてインストールしてください。Workstation ProとFusion Proは、Broadcomから個人および商用利用の両方で無料提供されています。
  • Windowsホストの場合、VMware製品がHyper-Vハイパーバイザーと共存できないことがあります。最適な環境で受講いただくため、VMwareで仮想マシンを起動できることを事前に確認してください。そのためには、Hyper-Vを無効にする必要がある場合があります。Hyper-V、Device Guard、およびCredential Guardを無効にする手順については、コース教材に付属のセットアップ手順書をご覧ください。
  • 7-Zip（Windows ホストの場合）またはKeka（macOS ホストの場合）をダウンロードしてインストールしてください。これらのツールは、ダウンロードしたコース教材にも含まれています。

コースメディアはダウンロードで配信されます。講座で使用するメディアファイルは大きくなる可能性があります。多くは40〜50GBの範囲ですが、100GBを超えるものもあります。ダウンロードが完了するまで、十分な時間を確保してください。インターネット接続と速度は大きく異なり、さまざまな要因によって左右されます。そのため、教材のダウンロードにかかる時間の見積もりを概算することはできません。リンクを取得したらすぐにコースメディアのダウンロードを開始してください。講座初日からすぐ必要になります。これらのファイルのダウンロードは受講前日の夜まで待たずに開始してください。

コース教材には、「セットアップ手順」ドキュメントが含まれており、ライブ講座への参加、オンラインコースを受講開始したりする前に実行する必要がある重要な手順が詳細に説明されています。これらの手順を完了するには、30分以上かかる場合があります。
講座では、ラボの指示に電子ワークブックを使用しています。この新しい環境では、コースラボに取り組んでいる間、教材を見やすくするために、2台目のモニターやタブレット端末があると便利です。

ノートパソコンの仕様についてご質問がある場合は、カスタマーサービスにお問い合わせください。

FOR509 コース概要

FOR509: Enterprise Cloud Forensics and Incident Responseコースでは、主要なクラウドサービスプロバイダー（Microsoft Azure、Amazon AWS、Google Cloud）が、従来のオンプレミス環境での調査では利用できなかった新たな証拠ソースを提供し、アナリストの能力をどのように拡張しているかを学びます。同時に、GCFR認定試験に向けた準備も行います。ネットワークトラフィック監視のクラウド版から、証拠保全のためのハイパーバイザーへの直接的なアクセスに至るまで、フォレンジックという分野が廃れることはありません。むしろ、新しい技術や機能によって生まれ変わろうとしています。

インシデント対応やフォレンジックの基本は、攻撃者が残した「痕跡（ブレッドクラム）」を追跡することにあります。こうした痕跡は、主にログの中に残されています。本コースではログ分析に重点を置き、受講者がクラウド環境での調査手法を迅速に習得できるよう支援します。クラウド環境で利用可能なログの種類、その保持期間、デフォルトで有効になっているかどうか、そしてログに含まれるイベントの意味をどう解釈すべきかを知ることは極めて重要です。

コース全体を通じて多数のハンズオンラボが用意されており、実際のインシデントや調査で頻繁に遭遇するシナリオに基づいて生成された証拠データに触れることができます。受講者は、どこからデータを取得し、どのように分析して脅威（悪意ある活動）を特定するかを実践的に学びます。

2025年版コース改訂の概要
改訂版FOR509コースでは、AWS、Azure、Google Cloud、Microsoft 365、Google Workspace、Kubernetesを重点的に取り上げ、マルチクラウド環境におけるDFIR（デジタルフォレンジックおよびインシデント対応）の網羅性を大幅に強化しました。新たなハンズオンラボ、マルチクラウド環境での侵入対応を想定したキャップストーン、そして強化されたツール群により、今日の複雑な環境下で脅威となる高度な永続化手法、クラウドネイティブサービスの悪用、クロスプラットフォームでの権限昇格といった攻撃への対抗力をチームに備えさせます。改訂内容の詳細や、本コースがチームの能力強化にどのように貢献するかについては、フライヤーをダウンロードしてご確認ください。

受講対象者

FOR509トレーニングは、以下のような幅広い層の方々に推奨されます。

  • クラウド上でホストされているソフトウェア、インフラ、またはプラットフォームに影響を及ぼすセキュリティインシデントや侵入への対応が求められ、企業全体のクラウド環境において侵害されたシステムの検知、調査、修復、および復旧方法を習得する必要があるインシデントレスポンスチームのメンバー
  • 脅威をより深く理解し、そこから得た知見を活かして、より効果的な脅威ハンティングや攻撃者の手口（トレードクラフト）への対抗策の実施を目指す脅威ハンター
  • アラートへの理解を深め、イベントのトリアージ（優先順位付け）に必要なスキルを構築し、クラウドのログソースを最大限に活用しようとしているSOCアナリスト
  • クラウドベースのフォレンジックに関する理解を整理・強化したいと考えている、経験豊富なデジタルフォレンジックアナリスト
  • データ侵害インシデントや侵入への対応を直接的に支援・サポートする情報セキュリティの専門家
  • 高度な侵入調査とインシデントレスポンスを習得し、従来のホストベースのデジタルフォレンジックの枠を超えて調査スキルを拡大したいと考えている連邦捜査官や法執行機関の専門家
  • 自身のスキルセットにクラウドベースのフォレンジックを追加したいと考えている、SANS FOR500、FOR508、SEC541、およびSEC504の修了者

シラバス

  • DAY1
  • DAY2
  • DAY3
  • DAY4
  • DAY5
  • DAY6

Microsoft 365 と Graph API

クラウドデータの広大な世界を調査する前に、そのデータがどこに、どのような形で存在しているのかを理解する必要があります。本セクションでは、スナップショットやクラウドフローといったクラウドの基本概念について解説します。また、各クラウドアーキテクチャがどのようなログ記録やデータアクセス機能を提供しているか、そして調査を進める上で指針となるログの階層構造についても理解を深めます。

取り上げられるトピック

  • コースの概要と SOF-ELK
  • DFIR（デジタルフォレンジックおよびインシデント対応）におけるクラウドの重要要素
  • Microsoft 365 統合監査ログ（UAL）
  • Microsoft Graph API

ラボ

  • SOF-ELK でのデータ分析と可視化
  • 不審なメール
  • データの窃取
  • Entra ID – UAL ビュー
  • Graph API アプリケーションのアクティビティ

ラボの詳細

  • ラボ 1.1: SOF-ELK でのデータ分析と可視化
    • このラボは、Security Operations and Forensics ELK（SOF-ELK）プラットフォームに慣れ親しむためのガイド付きデモンストレーションです。本コースの以降のすべてのハンズオン演習で使用する主要ツールであるSOF-ELK仮想マシン上で、ログデータの分析と可視化の基本を学びます。
  • ラボ 1.2: 不審なメール
    • このラボでは、Hankのメールボックスを検索し、不正アクセスや悪意のある構成変更の痕跡を探すことで、ビジネスメール詐欺（BEC）の調査を行います。分析の結果、脅威アクターがなりすましドメインへの転送ルールを作成し、特定のキーワードを含むメールを隠すための受信トレイルールも別途設定していたことが判明します。
  • ラボ 1.3: データの窃取
    • このラボでは、ユーザーのOneDriveやSharePoint内の機密ファイルを探索する攻撃者を追跡し、データ窃取のシナリオを分析します。脅威アクターによるドキュメントのダウンロードや削除といった活動を追跡し、AADSessionIdを使用して攻撃者のセッションと正当なユーザーのセッションを区別する方法を学びます。
  • ラボ 1.4: Entra ID – UALビュー
    • この演習では、統合監査ログ（UAL）に記録された Microsoft Entra IDの認証ログの調査に焦点を当てます。サインインイベントの解釈方法を学ぶとともに、Azureポータルで確認できる同等のログに比べて詳細情報が少ないというUALの制限についても理解を深めます。
  • ラボ 1.5: Graph APIアプリケーション アクティビティ
    • このラボでは、脅威アクターがMicrosoft Graph APIを悪用して、環境内での永続性を確保したりデータを窃取したりする手口を調査します。Graph APIアクティビティログには偵察活動を含むすべてのリクエストが記録されますが、API呼び出しの結果や影響を把握するには、これらのログエントリを他のログと関連付けて分析する必要があることを学びます。

トピックの詳細

  • モジュール 1.1: コースの概要とSOF-ELK
    • クラスの目的
    • ラボについて
    • SOF-ELKのアーキテクチャ
    • Logstash
  • モジュール 1.2: DFIRにおけるクラウドの主要要素
    • クラウドモデル
    • クラウド環境でのDFIR
    • クラウドの一般的な概念
      • 責任共有モデル
      • 調査に重要なログ
      • クラウドへのアクセス方法
      • VMディスクスナップショット
      • クラウドフロー
      • 料金体系
      • クラウド間での用語の違い
  • モジュール 1.3: Microsoft 365統合監査ログ（UAL）
    •  統合監査ログ（UAL）
    • UALレコード
    • ワークロード、レコードの種類、操作
    • UAL へのアクセスと検索
      • Exchangeワークロード
      • 不審なメールの追跡
      • ドメイン外への自動転送のブロック
    • ファイル操作と共有
      • SharePointワークロード
      • ファイルのライフサイクルの追跡
      • SearchQuery操作
    • Entra ID
      • トークンの基礎
  • モジュール 1.4: Microsoft Graph API
    • ケーススタディ: SolarWinds
    • Microsoft Graph APIのプロセス
    • Graph APIのプロセス
    • Graph API利用の5つのステップ
    • ログの例
      • メールの読み取り
      • ユーザーの作成
    • 環境の調査

Microsoft Azure

本セクションでは、Azureの各種アクティビティログや診断ログを活用し、リソースの追跡、侵害された仮想マシンの調査、およびデータ持ち出し（データエクスフィルトレーション）の検知を行う方法を学びます。また、より効率的な調査を行うために、独自の分析ツールをクラウド上に直接デプロイする方法についても解説します。

取り上げられるトピック

  • Azureの概要
  • インシデントレスポンス（IR）のためのログソース
  • 仮想マシン
  • ストレージとネットワーク
  • リソース

ラボ

  • Azure View
  • リソースの追跡
  • 仮想マシンとスナップショット
  • データ持ち出しの検知

ラボの詳細

  • ラボ 2.1: Entra ID – Azureビュー
    • このラボでは、AzureポータルからMicrosoft Entra IDのログを調査し、Microsoft 365統合監査ログに含まれる詳細度の低いバージョンと比較します。マネージドIDによって生成されたものを含むさまざまなサインインカテゴリを分析し、脅威アクターによって作成された、不審な可能性のあるIDを特定します。
  • ラボ 2.2: リソースの追跡
    • このラボでは、ユーザー割り当てマネージドIDを作成し、リソースグループレベルで過剰な権限を持つ「共同作成者（Contributor）」ロールをそのIDに付与する脅威アクターを追跡します。監査ログとアクティビティログを追跡することで、アクターがそのIDを使用してAzure Data Factoryや Key Vaultなどのリソースを作成し、データ持ち出しの準備を行う様子を確認します。
  • ラボ 2.3: 仮想マシンとスナップショット
    • このラボでは、メタデータサービスからトークンが盗まれたことによる、仮想マシンのマネージド IDの侵害について調査します。アクティビティログを分析し、脅威アクターが盗まれたIDの権限を悪用して、新しい仮想マシンの作成、リモートコマンドの実行、および他のシステムのスナップショット作成とエクスポートを行う様子を確認します。
  • ラボ 2.4: データ持ち出しの検出
    • このラボでは、手動で有効にする必要のあるStorageReadログを分析し、Azureストレージアカウントからのデータ持ち出しを検出することに焦点を当てます。脅威アクターが使用した3つの異なる持ち出し手法（Azure Storage Explorer、PowerShell、Azure Data Factory）の証拠を比較し、それぞれの手法に特有のフォレンジック・アーティファクト（痕跡）を理解します。

トピックの詳細

  • モジュール 2.1: Azure の理解
    • テナントとサブスクリプション
    • Azure Resource Manager
    • リソースグループ
    • AzureリソースID文字列
    • ロールベースのアクセス制御（RBAC）
    • マネージドID
  • モジュール 2.2: インシデント対応（IR）用のログソース
    • ログのソース
    •  Azure Portal
    • サインインログ
    • 監査ログ
    • サブスクリプション/アクティビティログ
    • Log Analyticsワークスペース
    • 概要
    • Log Analyticsクエリ
    • KQLの例
    • ストレージアカウント
    • Storage BlobにおけるPT1H
    • Azure Storage Explorer
    • Event HubsとGraph API
  • モジュール 2.3: 仮想マシン
    • 仮想マシンの種類
    • Managed Disk
    • 仮想マシンの作成イベント
    • 仮想マシンエージェント
    • Azure VM Run Command
    • クラウドでのドライブのイメージ化
    • スナップショットのダウンロード
    • フォレンジック用VMイメージの作成
  • モジュール 2.4: ストレージとネットワーク
    • ストレージアカウント
    • キーと共有アクセス署名（SAS）
    • Azure Virtual Network
    • ネットワークセキュリティ グループ（NSG）
    • フローログ
  • モジュール 2.5: リソース
    • Azure Sentinel
    • Microsoft インシデント対応プレイブック
    • Azure Threat Research Matrix

Amazon Web Services（AWS）

本セクションでは、インシデント対応担当者が調査にAWSをどのように活用できるかについて解説します。CloudTrail、VPCフローログ、S3アクセスログといった、新規かつ重要なログソースを取り上げます。ハンズオン（ラボ）では、フェデレーションユーザーアカウント経由でのAWS組織の侵害から始まる、現実的な侵入シナリオに沿って作業を行います。

取り上げられるトピック

  • AWSにおけるインシデント対応（IR）の理解
  • ネットワーク、VM、ストレージ
  • 仮想ネットワーク
  • S3バケット
  • AWSネイティブなログ検索

ラボ

  • CloudTrailログの確認
  • 不正なVMの特定
  • VPCフローログ
  • S3の分析
  • ラテラルムーブメント（横展開）の追跡

ラボの詳細

  • ラボ 3.1: CloudTrailログの確認
    • このラボでは、CloudTrailからエクスポートされたログを使用して、アカウント乗っ取りの可能性を特定します。コンソールアクセスやAPIキーアクセスに関する複数のシナリオを検証し、こうした攻撃を検出・追跡する方法を学びます。このラボでは、CloudTrailログを検索し、ユーザー列挙、権限変更、新規APIキーの作成といった悪意のあるIAMアクティビティの証拠を探します。調査の結果、侵害されたAzureユーザーアカウントがAWS組織への管理者アクセス権の取得に悪用され、攻撃者が新たな悪意のあるアカウントを作成していたことが判明します。
  • ラボ 3.2: 不正なVMの検出
    • この演習では、既存のEC2インスタンスの列挙や機密性の高いシステムからのスナップショット作成など、仮想マシンに関連する悪意のあるアクティビティについてCloudTrailログを分析します。分析の過程で、攻撃者が作成した不正なLightsailインスタンスも発見されます。これはEC2グローバルビューに表示されないため、インフラを隠蔽する際によく使われる手口です。
  • ラボ 3.3: VPCフローログ
    • このラボでは、VPCフローログとDNSリゾルバーのクエリログを分析し、攻撃者のネットワークアクティビティを調査します。調査により、大規模なデータ流出の証拠や、別のVPS上でホストされているC2（コマンド＆コントロール）サーバーへの定期的なビーコニング（通信）活動が明らかになります。
  • ラボ 3.4: S3 の分析
    • このラボでは、CloudTrailログとS3 サーバーアクセスログの両方を分析し、S3バケット内での悪意のあるアクティビティを調査します。攻撃者が研究データを流出させ、永続的なアクセスを確保するためにバケットの権限を変更し、さらに独自のキーでデータを暗号化して正当な所有者を締め出したという証拠が見つかります。
  • ラボ 3.5: ラテラルムーブメント（横展開）の追跡
    • このラボでは、AWS Systems Manager（SSM）および Lambda のログを分析し、攻撃者がプライベートサブネット内のシステム間をどのように移動（ラテラルムーブメント）したかを調査します。ログからは、リモートアクセスにEC2 Instance Connectが使用されたことや、永続的なアクセスを維持する仕組みとして悪意のあるLambda関数が作成されたことが明らかになります。

トピックの詳細

  • モジュール 3.1: AWSにおけるIR（インシデント対応）の理解
    • AWS Organizations
    • OrganizationsにおけるIRの役割
    • セキュリティリファレンスアーキテクチャ
    • IAM: Identity and Access Management（IDおよびアクセス管理）
    • IAMとルートアカウントの比較
    • IAMロールとポリシー
    • IAMポリシーの分析
    • IAMポリシーシミュレーター
    • インシデント時のIAMアクセス範囲の特定
    • AWSへのアクセス方法
    • CloudTrail
    • デフォルトのCloudTrailログのダウンロード
    • Amazonリソースネーム（ARN）
    • アクセスキーの解説
    • GuardDuty
  • モジュール 3.2: ネットワーク、VM、ストレージ
    • EC2: Elastic Compute Cloud
    • EC2のCloudTrailログ
    • STSトークンとIAMロールの比較
    • Amazon Lightsail
    • EBS: Elastic Block Store
    • EBSのCloudTrailログ
    • スナップショット
    • スナップショットのCloudTrailログ
    • EFS
    • EFSのCloudTrailログ
    • 仮想ネットワーク
      • VPC
      • VPCサブネット
      • セキュリティグループとネットワークACLの比較
      • VPCフローログ
      • Route 53
    • S3バケット
      • S3バケット
      • AWS Transfer Acceleration
      • CloudTrailでのS3バケットアクセス
      • サーバーアクセスログでのS3バケットアクセス
  • モジュール 3.3: AWSネイティブなログ検索
    • AWSのログソース
    • AWS CloudTrail Lake
    • AWS Glue
    • AWS Athena
    • AWS Detective
  • モジュール 3.4: イベント駆動型レスポンス
    • Lambda
    • イベント駆動型DFIRの自動化
    • CloudWatch Logs
    • AWS Lambdaログ
    • イベントトリガー
    • Step Functions
  • モジュール 3.5: クラウド内でのIR
    • AWS Systems Manager
    • 脅威ハンティングに使用するAWS Systems Managerコマンド
    • AWS Systems Managerエージェントログ

KubernetesとGoogle Workspace

本セクションでは、主要なクラウドプロバイダーすべてで採用されているオープンソースのコンテナオーケストレーションプラットフォーム「Kubernetes」の基礎知識を解説します。従来のハードウェア環境からコンテナベースのデプロイメントへの変遷を説明し、その主要なアーキテクチャ構成要素について詳しく見ていきます。

取り上げられるトピック

  • Kubernetesの概要とログ
  • Kubernetesに対する一般的な攻撃
  • Google Workspaceの理解
  • Google Workspaceの証拠データへのアクセス
  • Google Workspaceの調査

ラボ

  • Kubernetesのログ分析
  • 侵害されたコンテナの調査
  • Google Workspaceにおけるビジネスメール詐欺（BEC）
  • サードパーティ製アプリによるGoogle OAuthの悪用
  • Google Workspaceからのデータ持ち出し

ラボの詳細

  • ラボ 4.1: Kubernetesログ分析
    • このラボでは、前のセクションで扱った侵入シナリオを継続し、侵害されたAWSアカウントが関連するEKS Kubernetesクラスターにどのような影響を及ぼすかに焦点を当てます。受講者はログを使用して脅威アクターの行動を追跡し、より広範なクラウド環境で侵害された認証情報が、いかにしてクラスター自体の侵害につながるかを理解します。
  • ラボ 4.2: 侵害されたコンテナの調査
    • このラボでは、公開されていた「Damn Vulnerable Web Application」コンテナが暗号資産マイナーによって侵害された攻撃について、フォレンジック・アーティファクト（証拠となる痕跡）を調査します。残された証拠を分析することで、侵害後にコンテナ内で何が起こったかを把握する上で、標準出力（stdout）ログの取得がいかに重要であるかを実証します。
  • ラボ 4.3: Google Workspaceにおけるビジネスメール詐欺（BEC）
    • このラボでは、フィッシング攻撃をきっかけに発生したビジネスメール詐欺（BEC）を調査するために、Gmailおよびユーザー監査ログを分析します。悪意のあるリンクをクリックしたユーザーを特定した後、脅威アクターによる侵害後の活動（パスワードや2FA設定の変更、永続化のためのメール転送設定の有効化など）を追跡調査します。
  • ラボ 4.4: サードパーティ製アプリによるGoogle OAuthの悪用
    • この調査は、OAuthを使用した不審なサードパーティ製アプリに対し、ユーザーが予期せず管理者権限を付与してしまったというアラートの分析から始まります。受講者はトークン監査ログから Google Chatログへと調査対象を広げ、ソーシャルエンジニアリングによる初期の攻撃経路（悪意のある Pythonスクリプトが添付ファイルとして送信され、被害者がダウンロードしたこと）を特定します。
  • ラボ 4.5: Google Workspaceにおけるデータ持ち出し
    • このラボでは、GoogleドライブおよびGoogle Takeoutのログを分析し、悪意のあるデータ持ち出しと意図しないデータ露出の両方を追跡します。調査の結果、初期の攻撃経路は、全従業員が参加可能な設定になっていたGoogleグループの不適切な構成であったことが判明します。脅威アクターはこのグループを利用して権限を獲得し、ファイル共有設定を変更して共有ドライブからデータを盗み出していました。

トピックの詳細

  • モジュール 4.1: Kubernetesの概要とログ
    • プラットフォームの進化
    • コンテナ / Pod / ノード
    • クラスターとコントロールプレーン
    • Kubernetes におけるネットワーク
    • Kubernetes 内のログ記録
    • クラウド各社による Kubernetes実装
    • Azure Kubernetes Serviceのログ
    • Amazon Elastic Kubernetes Service のログ
    • Google Kubernetes Engineのログ
  • モジュール 4.2: Kubernetesに対する一般的な攻撃
    • Kubernetes APIサーバーへの攻撃
    • Etcd への攻撃
    • コンテナ・エスケープ
    • コンテナを標的とした攻撃
  • モジュール 4.3: Google Workspaceの理解
    • Google Workspace のエディション
    • Google Workspace の組織部門（OU）
    • Google Workspace のグループ
    • Google Workspace の権限とロール
  • モジュール 4.4: Google Workspaceの証拠データへのアクセス
    • 主要サービス
    • データソース
    • データの保持期間と遅延時間
    • 調査ツール（Investigation Tool）
    • Reports API
    • ALFA の概要
    • Google Cloud への監査ログの送信
    • Vault を介した証拠データへのアクセス
  • モジュール 4.5: Google Workspaceの調査
    • 管理者監査ログ
    • ユーザー監査ログ
    • Gmail データソース
    • SOF-ELK への Gmail 監査ログのインポート
    • 調査ツールによるメールの確認
    • OAuth 監査ログ
    • Chat 監査ログ
    • Drive 監査ログ
    • Google Takeout

Google Cloud

本セクションでは、Google Cloud特有のIDおよびアクセス管理（IAM）へのアプローチを皮切りに、同環境におけるインシデントを調査するために不可欠なスキルをDFIR（デジタルフォレンジックおよびインシデント対応）の専門家に提供します。受講者は、Google Cloudの「組織」「フォルダ」「プロジェクト」からなる階層構造を把握し、操作する方法を学びます。

取り上げられるトピック

  • Google Cloudの概要とIAM
  • ログ記録
  • 仮想マシン
  • Cloud Storageとネットワーク

ラボ

  • ロールとサービスアカウントの追跡
  • 仮想マシンとスナップショット
  • ストレージバケットとデータ流出
  • ビーコン、VPCフロー、ファイアウォールログ

ラボの詳細

  • ラボ 5.1: ロールとサービスアカウントの追跡
    • このラボでは、複数のサービスアカウントにアクセスし、権限の列挙を試みる脅威アクターの行動を調査します。ログを分析することで、アクターが異なるサービスアカウントやプロジェクト間を移動し、権限を昇格させていく過程を追跡します。
  • ラボ 5.2: 仮想マシンとスナップショット
    • このラボでは、新しいインスタンスの作成や既存ディスクのスナップショット取得など、仮想マシンに関連する脅威アクターの活動の追跡に焦点を当てます。ログイベントを分析し、アクターがスナップショットをエクスポートしたり、永続的なアクセスを確保するためにプロジェクトのメタデータにSSHキーを追加したりする一連のプロセスを追跡します。
  • ラボ 5.3: ストレージバケットとデータ流出
    • このラボでは、ストレージログの調査とデータ流出の手法の理解に焦点を当てます。脅威アクターがストレージバケット内の多数のファイルを一覧表示し、ダウンロードする様子を分析するとともに、ランサムウェアの手口に関連するログエントリを確認します。
  • ラボ 5.4: ビーコン、VPCフロー、およびファイアウォールログ
    • このラボでは、VPCフローログとファイアウォールログを調査し、悪意のあるネットワーク活動を特定します。データを分析して、C2（コマンド＆コントロール）サーバーへのビーコン通信の証拠や、侵害された仮想マシンからのデータ流出の可能性を示す痕跡を探します。

トピックの詳細

  • モジュール 5.1: Google Cloudの概要とIAM
    • Googleクラウドの構造
    • IDとアクセスの管理
    • 役割とポリシー
    • ポリシーの継承とバインディング
    • ポリシーアナライザー
    • サービスアカウント
    • なりすまし
    • 組織方針
  • モジュール 5.2: ロギング
    • ログのカテゴリ
    • Googleクラウドのログフロー
    • ロギングプロセス
    • データアクセス監査ログ
    • ログストレージ
    • ログルーティングシンク
    • ケーススタディ: 統合ログ
    • フィルターの例
    • ログエクスプローラー
    • Gcloudロギング コマンド
    • ログをストレージバケットに直接コピーする
    • Pub/Sub経由でログをエクスポートする
  • モジュール 5.3: 仮想マシン
    • 事前定義されたコンピューティング エンジンのタイプ
    • ブロックストレージ
    • VMのデフォルトのサービス アカウント
    • VM作成ログ
    • スナップショットの作成
    • スナップショットのエクスポート
    • クラウド運用エージェント
  • モジュール 5.4: クラウド ストレージとネットワーク
    • クラウドストレージバケット
    • バケットのメタデータ
    • バケットログ
    • バケット権限の昇格
    • ファイルストア
    • VPC ネットワーク
    • VPC フローログ
    • VPC ファイアウォール

マルチクラウド侵入調査チャレンジ

この最終的な実践演習（キャップストーン）セクションでは、今週学んだ知識を実際のシナリオに適用します。チームで協力し、AWS、Azure、GCPという主要な3つのクラウドプロバイダーすべてにまたがる複雑な侵入事案を調査します。

相互に連携する複数のシステムに散らばる証拠を分担して分析し、インシデントの全容を解明しなければなりません。チャレンジの締めくくりとして、各チームが調査結果をクラス全体に向けて発表し、「FOR509 Lethal Forensicators（最強のフォレンジック調査チーム）」の称号を競い合います。

NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。

ニュースレター登録
資料ダウンロード
お問い合わせ