ニュースレター登録
資料ダウンロード
お問い合わせ

SECURITY 555

Detection Engineering and SIEM Analytics

English
日程

2026年12月7日(月)~2026年12月11日(金)

期間
5日間
講義時間

1日目:9:00-17:30
2日目~5日目:9:30-17:30

受講スタイル
LiveOnline（オンライン受講）
会場

◆LiveOnline形式
　オンライン

GIAC認定資格
GCDA
講師
Nick Mitropoulos|ニック ミトロプーロス
SANS認定インストラクター
言語
英語　英語教材・同時通訳
定員
40名
CPEポイント
30 Points
受講料
早期割引価格：1,259,500円（税込み 1,385,450円）
※キャンペーン価格のため、他の割引の重複適用はできません。ご了承ください。
通常価格：1,334,500円（税込み 1,467,950円）
申込締切日
早期割引価格：2026年10月30日(金)
通常価格：2026年11月26日(木) 13:00
オプション
  • GIAC試験 価格：149,850円（税込み 164,835円）
  • OnDemand 価格：149,850円（税込み 164,835円）
  • Skills Quest by NetWars 価格：74,250円（税込み 81,675円）
※オプションの価格は、コース本体とセットでお申込みいただく場合のみ有効です。
※コース本体のお申込み後にGIAC試験オプションを追加される場合は、事務手数料10,000円（税込11,000円）を申し受けます。
※お申込み締切後はオプションの追加のお申込みを承ることができませんのでご了承ください。
※お申込み締切後にGIAC試験を追加する場合は、こちらのページ（英語）をご参照のうえ、GIACへ直接お申込みください。なお、コース本体とセットでお申込みいただいた場合は特典として模擬試験2回分が付きますが、GIACへ直接お申込みの場合は模擬試験2回分の特典はございません（別途購入可能）

以下の「お申し込み」を押すと、NRIセキュアのお申し込みサイトに遷移します。

お申込み

受講に必要なPC環境

演習で使用するノートPCをご準備下さい。受講に必要なPC環境についてご確認ください。

SEC555 PC設定詳細

重要：次の手順に沿って設定されたノートPCをご準備ください。

このコースを受講するには、適切に構成されたシステムが必要です。これらの指示を注意深く読み、従わないと、コースの実践的な演習に完全に参加することはできません。そのため、指定された要件をすべて満たしたシステムを持ってお越しください。

受講前にシステムをバックアップしてください。機密データ/重要なデータが保存されていないシステムを使用することを推奨します。SANS は、受講者のシステムやデータに対して一切責任を負いません。

必須システムハードウェア要件

  • CPU: 64 ビット Intel i5/i7 （第 8 世代以降）、または 同等のAMDプロセッサ。このコースでは、x64 ビット、2.0GHz以上のプロセッサが必須です。
  • 重要： M1/M2プロセッサを搭載したApple製システムでは、必要な仮想化機能が動作しないため、本コースでは使用できません。
  • BIOS 設定で「Intel-VTx」や「AMD-V」拡張機能などの仮想化テクノロジーを有効にする必要があります。変更が必要な場合に備えて、BIOSがパスワードで保護されている場合は必ずアクセスできることを確認してください。
  • 16GB以上のRAMが必要です。
  • 160GB以上の空きストレージ容量が必要です。
  • USB 3.0 Type-A ポートが少なくとも1つは必要です。新しいノートパソコンには、Type-C - Type-A 変換アダプターが必要になる場合があります。一部のエンドポイントプロテクションソフトウェアでは USB デバイスの使用を妨げるため、受講前に USB ドライブのシステムをテストしてください。
  • 無線ネットワーク（802.11規格）が必要です。会場には有線インターネットアクセスはありません。

必須のホスト構成とソフトウェア要件

  • ホストオペレーティングシステムは、Windows 10、Windows 11、または macOS10.15.x以降の最新バージョンである必要があります。
  • 受講前にホストオペレーティングシステムを完全に更新して、適切なドライバーとパッチがインストールされていることを確認してください。
  • Linuxホストは、バリエーションが多数あるため、本コースではサポートされていません。ホストとしてLinuxを使用することを選択した場合は、コース教材やVMと連携するようにLinuxを構成するのは受講生の責任となります。
  • ローカル管理者アクセスが必要です。（これは絶対に必要です。会社がコース期間中このアクセスを許可しない場合は、別のノートパソコンを持参する手配をする必要があります。）
  • ウイルス対策ソフトウェアまたはエンドポイントプロテクションソフトウェアが無効になっているか、完全に削除されているか、または管理者権限を確保しておく必要があります。多くのコースで、オペレーティングシステムへの完全な管理者アクセスを必要とし、これらの製品が原因でラボを完了できない場合があります。
  • 外部への通信に対するフィルタリングが行われていると、コースのラボを実施できない場合があります。ファイアウォールを無効にするか、無効化するための管理者権限が必要です。
  • 講座開始前に、Windowsホストの場合はVMware Workstation Proの最新バージョン、IntelベースのmacOSホストの場合はVMware Fusion Proの最新バージョンをダウンロードしてインストールしてください。Workstation ProとFusion Proは、Broadcomから個人および商用利用の両方で無料提供されています。
  • Windowsホストの場合、VMware製品がHyper-Vハイパーバイザーと共存できないことがあります。最適な環境で受講いただくため、VMwareで仮想マシンを起動できることを事前に確認してください。そのためには、Hyper-Vを無効にする必要がある場合があります。Hyper-V、Device Guard、およびCredential Guardを無効にする手順については、コース教材に付属のセットアップ手順書をご覧ください。
  •  7-Zip （Windows ホストの場合）またはKeka（macOS ホストの場合）をダウンロードしてインストールしてください。これらのツールは、ダウンロードしたコース教材にも含まれています。
  • コースメディアはダウンロードで配信されます。講座で使用するメディアファイルは大きくなる可能性があります。多くは40〜50GBの範囲ですが、100GBを超えるものもあります。ダウンロードが完了するまで、十分な時間を確保してください。インターネット接続と速度は大きく異なり、さまざまな要因によって左右されます。そのため、教材のダウンロードにかかる時間の見積もりを概算することはできません。リンクを取得したらすぐにコースメディアのダウンロードを開始してください。講座初日からすぐ必要になります。これらのファイルのダウンロードは受講前日の夜まで待たずに開始してください。

コース教材には、「セットアップ手順」ドキュメントが含まれており、ライブ講座への参加、オンラインコースを受講開始したりする前に実行する必要がある重要な手順が詳細に説明されています。これらの手順を完了するには、30分以上かかる場合があります。
講座では、ラボの指示に電子ワークブックを使用しています。この新しい環境では、コースラボに取り組んでいる間、教材を見やすくするために、2台目のモニターやタブレット端末があると便利です。

ノートパソコンの仕様についてご質問がある場合は、カスタマーサービス にお問い合わせください。

SEC555 コース概要

SEC555：Detection Engineering and SIEM Analyticsでは、プロアクティブな検知戦略の設計方法やSIEMプラットフォームの効果的な運用方法を学ぶ、実践的な検知エンジニアリング・トレーニングコースです。受講者は、実際の環境を模したラボや詳細な分析を通じて、ログの解釈、高品質な検知ルールの作成、そしてクラウドおよびオンプレミス環境における潜在的な脅威の特定手法を習得します。検知エンジニアリングの初心者であれ、スキルアップを目指す経験者であれ、本コースを受講することで、複雑なデータから有意義な知見を導き出し、より迅速かつインテリジェンス主導型のセキュリティ・オペレーション・センター（SOC）を構築する能力を身につけることができます。また、本コースは、検知エンジニアリングとデータ主導型防御における高度な能力を証明する資格「GCDA（GIAC Certified Detection Analyst）」の取得に向けた有益な準備としても役立ちます。

「Detection Engineering」ポスターをダウンロードして、検知エンジニアリング・ライフサイクルの実際の運用プロセスを視覚的にご確認ください。

検知エンジニアリングとSIEM分析でサイバー防御の技術を極める
サイバー脅威が日々高度化する中、組織には脅威の一歩先を行く熟練した防御担当者が必要です。本コースは、能動的な防御を設計する技術である「検知エンジニアリング」と、現代の脅威検知・対応の中核である「SIEM（Security Information and Event Management）」を習得するための入り口となります。スキルアップを目指すセキュリティアナリストや検知アナリストの皆様が、攻撃を検知・調査するための実践的な専門知識を身につけられるよう構成されています。SEC555は、既存のログ収集・管理ソリューションを強化し、能動的な監視を可能にするための健全な検知ルールの作成を促進するトレーニング、手法、プロセスを提供します。また、本コースはGCDA認定資格で問われるスキルと密接に連携しているため、この分野での専門知識を証明し、さらに高めたいと考えるプロフェッショナルに最適です。

ログに隠された秘密を解き明かす
本コースでは、ログの「いつ、何が、なぜ」という側面に深く踏み込みます。オンプレミスおよびクラウド環境の双方において、正確な検知ルールの作成、SIEM設定の微調整、そして現実のシナリオ分析を通じて隠れた脅威を特定する方法を学びます。高度な攻撃から組織を守るために、自動化されたアラートの構築、データ分析の活用、そして攻撃者の戦術（タクティクス）の理解といったスキルを習得します。今日のセキュリティ運用が直面しているのは「ビッグデータ」の問題ではなく、「データ分析」の難問です。本コースは、膨大なデータから実用的な洞察（インサイト）を抽出する能力を養います。

実践的な学習を通じて、SIEMのアーキテクチャと、それが本格的に稼働するセキュリティオペレーションセンター（SOC）にどのように統合されるかを深く理解します。SIEMプラットフォームを効果的にカスタマイズ・管理する方法を学び、エンタープライズログデータを充実させることで、強力な検知ルールを作成するための重要なインテリジェンスを抽出する方法を探求します。

実践的な検知エンジニアリング・トレーニング
SEC555の実践演習は、オンプレミスおよびクラウドベースのツールを使用し、実際のインシデントのログを調査することで、受講者が問題解決の視点を養えるよう独自に設計されています。さらに、検知用ラボ環境の展開を自動化したり、インシデントやユースケースを記録・管理したり、ユースケースのテストを実施したりするためのツールを使用する機会も提供されます。

シラバスの概要

セクション1：検知エンジニアリングとSIEMアーキテクチャ
セクション2：ネットワークおよびエンドポイントの分析
セクション3：資産の検出、ベースライン、およびUEBA
セクション4：クラウドのログ記録と監視
セクション5：アラートおよび検知エンジニアリングのパイプライン

受講対象者

SEC555トレーニングは、以下のような幅広い層の方々に推奨されます。

  • 検知エンジニア
  • 検知アナリスト
  • セキュリティアナリスト
  • セキュリティエンジニア
  • 脅威ハンター
  • インシデントハンドラー／レスポンダー
  • セキュリティアーキテクト
  • セキュリティ監視スペシャリスト
  • サイバー脅威調査担当者
  • ペネトレーションテスター

シラバス

  • DAY1
  • DAY2
  • DAY3
  • DAY4
  • DAY5

検知エンジニアリングとSIEMアーキテクチャ

第1セクションでは、検知エンジニアリングとSIEMに関する強固な基礎を築きます。ここでは、主要な概念、ベストプラクティス、および最新のログ収集・処理技術を扱います。受講者は、効果的なログ分析を行うとともに、現代の脅威環境に対応した、柔軟かつ拡張性の高い検知システムを構築するスキルを習得します。

取り上げられるトピック

  • SIEMの概要
  • 検知エンジニアリングのライフサイクルとSIEMの計画策定
  • 検知用ラボの構築
  • ログの収集とエンリッチメント（付加情報の付与）
  • ログの集約、パース（解析）、および分析

ラボ

  • DeTTECTとデータソースのギャップ分析
  • ハニーポットによる攻撃者の誘引
  • SIEMコンポーネントの概要
  • SSHブルートフォース攻撃の検知とWazuh MCPの活用

概要

ログの記録と分析は現代のサイバー防御の基盤であり、脅威への迅速な対応と、攻撃者の活動の能動的な特定の両方を可能にします。これらが効果的に実装されると、俊敏な検知活動の要として機能し、環境全体に対する詳細な可視性を提供するとともに、セキュリティチームが攻撃者の一歩先を行くための力を与えます。長年にわたり、ログ記録ツールや分析手法は著しく進化を遂げ、現代の検知戦略に不可欠な高度な機能を実現しています。本セクションでは、ログを適切に解釈・活用するための効果的なツールや最先端の技術について掘り下げ、従来のログ記録手法を、今日の複雑なセキュリティ課題に対応できるレベルへと高める方法を解説します。

初日は、参加者全員が「検知エンジニアリング（Detection Engineering）」とSIEMの基礎をしっかりと理解できるようにし、コース全体を通じて高度な概念を学ぶための強固な土台を築きます。さらに、検知用ラボの構築やSIEMのベストプラクティスに関する概要の解説も行い、業界をリードする手法に準拠した、効率的かつ効果的な検知システムを構築するための基盤を整えます。

トピックの詳細

  • SIEMの導入
    • 業界の統計と課題
    • SIEMが必要な理由
    • ログ量とEPS（1秒あたりのイベント数）に関する考慮事項
  • 検知エンジニアリングのライフサイクルとSIEMの計画策定
    • 検知エンジニアリングの目標
    • MITRE DeTTECT
    • 検知エンジニアリングのライフサイクル
  • MSSPの選定
    • 検知ラボの構築
    • オンプレミス型とクラウド型検知ラボの比較
    • 脆弱性のあるマシンと必要なツール
    • ハニーポットの追加
    • クラウド環境でのラボ展開の自動化
  • ケース管理
    • インシデント管理ツールへのアラートデータの追加
    • インシデント管理およびケース記録ツールの例
  • ログの収集とエンリッチメント
    • ログ収集方式の比較：エージェント型、エージェントレス型、スクリプト型
    • エンリッチメントに使用すべきデータ
  • ログの集約、パース、および分析
    • ログの集約
    • データのキューイング
    • メッセージブローカーの利用
    • 取り込んだデータの検索とアラート生成

ネットワークおよびエンドポイント分析

このセクションでは、DNS、SMTP、HTTP/HTTPSなどの主要プロトコルからログを収集し、詳細な分析を行う方法について説明します。また、WindowsおよびLinuxシステムにおける悪意のあるアクティビティを検出するためのエンドポイントログについても詳しく解説します。さらに、ホストベースのファイアウォールとログインイベントについても取り上げます。

取り上げられるトピック

  • ネットワーク分析
  • エンドポイント分析

ラボ

  • DNSログの調査
  • HTTPログの調査
  • Windowsログの調査
  • auditdの使用

概要

ネットワーク通信の大部分は少数の主要なプロトコルに依存していますが、多くの組織は、それらのデータを収集・分析することの価値を見落としています。本セッションでは、DNS、SMTP、HTTP/HTTPSサーバーなどのサービスからログを収集する手法について解説します。

また、攻撃の検知において「宝の山」とも言えるエンドポイントログについても取り上げます。エンドポイントログは、侵害後の活動を把握する上で比類のない可視性を提供し、効果的に活用すれば、他の検知ソースを凌ぐ威力を発揮します。ここでは、システムログの収集における「なぜ（目的）」と「どのように（手法）」という重要な点に焦点を当てます。さらに、サーバーやワークステーションから生成される膨大なデータの収集、フィルタリング、および処理を効率化するための様々な戦略についても学びます。

トピックの詳細

  • ネットワーク分析
    • SMTP
      • 送受信メールにおける不審なパターンの特定
      • フィッシングの疑いがあるドメインのファジーマッチング
    • DNS
      • アクセスされている新規ドメインの発見
      • ドメインの登録経過期間などの追加情報の収集
      • ランダムな名称を持つドメインの発見
      • 偵察（Reconnaissance）活動の特定
      • DNS C2チャネルの発見
      • Fast FluxおよびDGAの検知
    • HTTP/HTTPS
      • 大規模データセットを用いた攻撃の発見
      • 自動化されたアクティビティとユーザーによるアクティビティの識別
      • 承認済みWebクライアントと未承認クライアントの選別
      • HTTP C2チャネルの発見
      • 不審な証明書の特定
  • エンドポイント分析
    • Windowsログ
      • 構造と形式の理解
      • 収集方法
      • 高度な監査ポリシー
      • 追加ログ記録の導入（例：Sysmon）
    • o    Linuxログ
      • 一般的なログファイル
      • Syslogおよびrsyslog
      • Auditd
    • ホスト型ファイアウォールとログインイベント
      • WindowsとLinuxのファイアウォールの比較
      • WindowsとLinuxのログインの比較

ベースラインとUEBA

このセクションでは、正確な資産インベントリの維持と、不正なデバイスの特定を行う手法に焦点を当てます。受講者は、複数のデータソースを組み合わせてネットワークの全体像を把握するとともに、ベースラインの策定や異常検知の実践を通じて、C2（コマンド＆コントロール）活動や不審な挙動といった脅威を特定するスキルを習得します。

取り上げられるトピック

  • 資産の検出（アセット・ディスカバリー）
  • アプリケーションの監視とスクリプティング
  • トラフィック監視
  • ユーザー監視とベースライン策定

ラボ

  • インベントリデータを活用した脅威ハンティング
  • 悪意あるPowerShell実行の特定
  • Cobalt Strikeビーコニングの検知
  • Linuxにおける認証情報への攻撃の検知

概要

「己を知る（Know thyself）」ことは、効果的な防御の要でありながら、実践するのが最も困難な戦略の一つでもあります。例えば、組織内の全資産の完全なインベントリを維持し、ネットワーク上の未承認デバイスを特定するといった、一見単純に思える作業を考えてみましょう。理論上は単純でも、動的かつ絶えず変化し続ける現代のネットワーク環境において、このタスクを遂行するのは容易ではありません。

本セクションでは、この課題に正面から取り組み、承認済みデバイスと未承認デバイスを区別しつつ、正確な資産リストを維持するための手法に焦点を当てます。ここでは、信頼性の高い情報を提供する主要なデータソースを特定する方法や、複数のデータストリームを組み合わせて、包括的かつ実用的なマスターインベントリを作成する方法を学びます。

資産の把握にとどまらず、「己を知る」ことの他の側面についても掘り下げていきます。ネットワークやシステムのベースライン策定に関する実践的な経験を通じて、ネットワークフローの監視や、C2（コマンド＆コントロール）ビーコニング、あるいは異常なユーザー活動といった脅威の兆候を検知する方法を習得します。

トピックの詳細

  • アクティブおよびパッシブな資産検出
    • 脆弱性スキャナー
    • ネットワークアクセス制御
    • DHCP
    • NetFlow
    • 接続監視
  • アプリケーション監視とスクリプティング
    • アプリケーション実行の制御
    • ソフトウェア監視
    • ロングテール分析
    • PowerShellのログ記録
  • トラフィック監視
    • NetFlowとsFlowの比較
    • フロー方向の重要性
    • 転送サイズ
    • タグ付けの活用
  • UEBA（ユーザー・エンティティ行動分析）
    • 異常分析
    • ユーザーの行動パターンの確立
    • 組織のベースラインの作成

クラウドのログ記録と監視

本セクションでは、AWSやAzureなどのプラットフォームにわたり、堅牢なクラウドの可視性を構築することに重点を置きます。受講者は、主要なログの種類を理解し、攻撃者の活動を検知する手法を学ぶほか、監視の隙間（ギャップ）を埋めるための設定の最適化を行い、クラウド環境における効果的な防御と迅速な対応を実現する方法を習得します。

取り上げられるトピック

  • Azureのクラウドログ記録
  • Microsoft DefenderスイートおよびCopilot for Security
  • Microsoft SentinelおよびKQL
  • AWSのクラウドログ記録

ラボ

  • 機密データへの不正アクセスのログ記録
  • Defender for Cloud
  • SentinelおよびKQL
  • AWSラボ環境の構築
  • CloudWatchの設定とテスト

概要

多くの組織がクラウドへの移行を進める中、プラットフォーム全体にわたる包括的な可視性を確保することの重要性がかつてないほど高まっています。本セクションでは、環境を保護するための堅牢なクラウド監視体制を構築する上で、複数のベンダーにまたがる専門知識がいかに重要であるかに焦点を当てます。防御の強化やインシデント対応の効率化に活用できるログの種類を中心に、利用可能な様々なログについて学びます。

実践的な演習を通じて、Microsoft AzureやAWSにおける主要なログ収集ツールについて習熟します。また、攻撃者がクラウドのセキュリティ対策をどのように回避しようとするかを分析し、ログに残される痕跡を特定します。最後に、重要なイベントを確実に捕捉し、クラウド監視戦略に隙間が生じないようログ設定を最適化する方法を学びます。こうした知識は、今日のクラウド主導の環境において、防御策を実効性のあるものにし、強固なセキュリティ体制を維持するために不可欠です。

トピックの詳細

  • Azureクラウドログ：Azureログソースの特定、Entra ID ログ（アクティビティ、リソース、サインイン、監査ログ）の取り扱い、NSGフローログの抽出、Azure Monitor DCR（データ収集ルール）と AMA（Azure Monitoring Agent）
  • Defender Suite および Copilot for Security
    • Defender for Cloud
      • プロビジョニング方法
      • Logic Appの構成
      • アラートの作成
    • Defender for Endpoint
      • 設定の概要
      • トラブルシューティング
      • Graph Security APIの利用
      • Graph Explorerの利用
    • Defender XDR と Copilotの概要
  • Microsoft Sentinel と KQL
    • Sentinelの機能とアーキテクチャ
    • Sentinelの主要なテーブル
    • ASIMと正規化
    • Sentinelプレイブック
    • KQL言語と便利な演算子
  • AWSクラウドログ
    • AWSのログタイプとサービス
      • CloudTrail
      • CloudWatch
      • GuardDuty
      • フローログの抽出

詳細なアラート設定、事後分析、および総仕上げの演習

本セクションでは、多様なソースからのログを一元化・相関分析し、コンテキストの把握や優先順位付けを強化する方法について解説します。また、運用を効率化し、効果的な検知ロジックの作成を迅速化するための、自動化された検知エンジニアリング・パイプラインの構築についても取り上げます。

取り上げられるトピック

  • SIEMによるアラートと分析
  • 事後分析（ポストモーテム）
  • 検知エンジニアリング・パイプライン
  • Defend-the-Flag（防衛型）チャレンジ

ラボ

  • Sigmaの運用
  • VirusTotalを活用したマルウェアの検知と駆除

概要

本セクションでは、複数のソースからセキュリティログを統合し、一元的に分析することの重要性を強調します。ここでは、データストリームを統合・相関させ、アナリストが効果的に優先順位を判断する上で有益なコンテキスト（文脈情報）を付加する手法を学びます。さらに、運用を効率化し、新たな検知ルールの作成に伴う遅延を削減するために、自動化された検知エンジニアリング・パイプラインを構築・整備することの重要性についても理解を深めます。

トピックの詳細

  • SIEMによるアラート通知と分析：カスタムアラートの定義
    • アラート閾値の微調整
    • Sigmaの活用
    • アラートの調査
    • ケース管理
  • 事後分析と検知エンジニアリング・パイプライン
    • ネットワークトラフィックの再分析
    • 悪意あるドメインやIPアドレスの特定
    • ビーコニング（Beaconing）活動の探索
    • 従来の検知エンジニアリングと自動化された検知エンジニアリングの比較
    • CI/CDによる検知自動化ワークフロー
    • DaC（Detection as Code：コードとしての検知）
    • 検知エンジニアリング支援へのLLM（大規模言語モデル）の活用
  • 「Defend-the-Flag」チャレンジ：ハンズオン体験
    •  本コースの締めくくりとして、チーム対抗の「Design, Detect, and Defend the Flag（設計・検知・防衛）」コンペティションを実施します。
    • 参加チームは、コースを通じて学んだ現代のサイバー防衛技術を確実に習得できるよう設計された、複数のレベルやミッションに挑みます。ロギングアーキテクチャの構築やログの拡張、ネットワークおよびシステムログの分析、攻撃を特定するためのダッシュボード開発など、楽しく実践的なチーム対抗形式の課題を通じて、重要な原則を深く理解・定着させます。

NRIセキュアではNews BitesやOUCH! を日本語に翻訳して皆さまにお届けしています。
購読制を採っておりますので、
ご希望の方は、ニュースレター登録からお申し込みください。

ニュースレター登録
資料ダウンロード
お問い合わせ