データの取得、クレンジング、および加工
セクション1では、セキュリティ分野におけるデータ取得と加工に不可欠なPythonスキルに焦点を当てます。SQLデータベース、NoSQLドキュメントストア、およびWebソースからデータを取得する手法を学びます。この基礎を習得することで、セキュリティ運用におけるその後の分析や機械学習への活用に向けた、効率的なデータ収集が可能になります。
取り上げられるトピック
ラボ
概要
本セクションでは、データサイエンスや機械学習の分野における用語に加え、データソースとして利用される様々な技術について紹介します。データサイエンスや機械学習のプロジェクトにおいて、最初のステップはデータの取得です。そのため、本日の残りの時間は、こうした作業を行うための実践的な演習に充てられます。
まず必要となるスキルは、本コースで使用する言語であるPythonの活用能力です。受講にあたって求められる前提知識は、Pythonの中級程度の理解のみです。これまでにPythonスクリプトをいくつか作成した経験があれば、学習を始めるのに十分な知識をお持ちと言えるでしょう。ここでは、リスト、配列、タプル、辞書、内包表記といった基本事項を扱った後、NumPy関連の機能についても解説していきます。
Pythonの復習を終えた後は、理論の解説と実践的な演習を組み合わせて進めます。これにより、SQL、MongoDB、Webスクレイピングについて、実際の業務を遂行するのに十分な知識を習得します。
データ探索と統計
セクション2では、効果的なセキュリティデータ分析に不可欠な統計の基礎を扱います。受講者は、セキュリティデータセットへの統計的指標の適用、確率分布の解釈、およびセキュリティに関する意思決定へのベイズ推論の活用方法を学びます。これらのスキルは、異常検知や予測型セキュリティ分析を理解するための基盤となります。
取り上げられるトピック
-
セキュリティメトリクスに関する記述統計
-
推測統計と仮説検定
-
セキュリティデータにおける確率分布
-
脅威評価のためのベイズ推論
-
統計的異常検知手法
ラボ
概要
本セクションでは、まずデータサイエンスや機械学習において重要となる統計学の基礎を学びます。こうした基礎知識の解説と、実データを用いた実践的な演習を行った後、コースは確率論の学習へと移行します。
確率論はそれ自体が非常に広範な分野です。基本的な概念を導入した後、コースではベイズの定理の導出へと直接的に進みます。この導入を踏まえ、受講者は実践的な演習（ハンズオン）を通じて有用なベイズ分析ツールを構築します。このツールは、コースの後半でさらに改良を加えていくことになります。
本セクションの後半では、これまでに習得した統計学の知識を信号解析の分野に応用します。フーリエ級数、高速フーリエ変換（FFT）、および離散フーリエ変換（DFT）の導出と応用について解説した後、受講者はこれらのツールを実際の脅威ハンティング（脅威探索）活動において活用します。
機械学習の基礎：Trees、Forests、K-Means
本コースは、セキュリティ分野での活用に特化した機械学習技術の入門編です。受講者は、脅威検知、分類、および異常検知のための教師あり学習と教師なし学習の手法を学びます。カリキュラムは、基本的なクラスタリング手法から高度な分類アルゴリズムへと段階的に進み、すべての手法をセキュリティ関連のデータセットに適用します。
取り上げられるトピック
ラボ
-
ネットワークトラフィックの異常検知システムの構築
-
悪意ある挙動と正常な挙動の分類
-
脅威ハンティングへのクラスタリングの適用
-
ログデータへの次元削減の適用
-
特徴量抽出パイプラインの設計
概要
本コースの残りの時間（18時間以上）は、様々な機械学習モデルの学習と、それらを即座に実践へ適用することに充てられます。各トピックの解説と議論の後、受講者は時間をかけたハンズオン形式の実習に取り組み、直感的な理解を深めるとともに、実際の課題に対して手法を適用します。
このセクションは、様々なクラスタリング手法と教師なし学習の解説から始まります。まずはサポートベクター分類器、カーネル関数、そしてサポートベクターマシン（SVM）について学びます。これらの理論と演習に続き、K-MeansやKNNといった手法を取り上げ、クラスタリングの学習を深めます。2～3次元の単純な例を扱った後、最適なクラスタ数を決定する方法へと議論を進めます。その後、高次元データへの適用や、主成分分析（PCA）を用いた次元削減について学習します。また、DBSCANアルゴリズムについても詳細に扱い、脅威ハンティングや大規模データに対する効率的なSOC（セキュリティオペレーションセンター）分析への適用方法を学びます。
セクションの後半では、Tree-basedを用いた分類器について解説します。Decision Treesに関するハンズオン演習と限界についての議論を経て、Random Forestsへと学習を広げ、多くの場合においてなぜRandom Forestsがより精度の高い推論を可能にするのかを、実践を通じて理解します。
ラボの詳細
-
K-Means / KNN
-
Elbow Functionsと PCA
-
クラスタリングのための DNSCAN
-
サポートベクター分類器
-
サポートベクターマシン
-
Decision Trees
-
Random Forests
-
Boosted Trees
トピックの詳細
-
サポートベクター分類器
-
サポートベクターマシン
-
カーネル関数
-
主成分分析
-
DBSCAN
- K-Means
-
KNN
-
Elbow Functions
-
Decision Trees
-
Random Forests
- 異常検出
機械学習の基礎：ディープラーニング
本コースでは、ディープラーニングの手法を用いて、高度なセキュリティ上の課題に取り組む方法を学びます。受講者は、マルウェア検知、フィッシングの識別、行動分析といったセキュリティ用途に向けたニューラルネットワークの設計、学習、評価の手法を習得します。また、セキュリティ関連のデータ型やフォーマットに最適化されたネットワークアーキテクチャについても解説します。
取り上げられるトピック
ラボ
概要
本セクションでは、情報セキュリティ分野における教師あり学習手法の理論、開発、および活用に焦点を当てます。セクション2で扱った数学や統計の知識を土台とし、線形回帰から始めて、最終的にはリアルタイムのネットワークデータを対象とした多クラス分類問題へのディープラーニングニューラルネットワークの適用までを扱います。
学習内容は、教師あり機械学習と数学を用いて予測モデルを構築することに重点を置いています。導入部分の解説や演習では、異常検知のための予測や傾向分析を取り上げます。その後、本セクションの大部分は分類問題の扱いに充てられます。
セクション2で扱ったベイズ的アプローチを基礎としつつ、より精度の高いフィッシング検知ネットワークの開発を通じて、ディープラーニング・ニューラルネットワークや全結合（密結合）ネットワークについて学びます。続いて、ニューラルネットワークの学習パフォーマンスの可視化と測定について探求するとともに、過学習（オーバーフィッティング）や過剰な学習（オーバートレーニング）といった現象、およびそれらを特定（そして回避）する方法について議論します。
続くパートではカテゴリ分類の問題を取り上げ、受講者はリアルタイムのネットワークプロトコル分類システムを構築します。さらに重要な点として、通常は教師なし学習手法で行われる「異常検知」の機能を、この分類システムに実装します。
機械学習の基礎：オートエンコーダー
本セクションでは、畳み込みニューラルネットワーク（CNN）とオートエンコーダーのアーキテクチャに焦点を当てます。前半では、テキスト分類やゼロデイマルウェア検知のためのCNNを扱います。後半では、ログやネットワークトラフィックにおけるシグネチャ不要の異常検知を目的として、オートエンコーダーの基礎、潜在表現、および再構成損失関数について学習します。
取り上げられるトピック
-
畳み込みニューラルネットワーク（CNN）
-
埋め込み層（Embedding layers）
-
CNNによるテキスト処理への応用
-
オートエンコーダーのアーキテクチャ
-
再構成損失の測定
ラボ
-
予測的マルウェア識別
-
CNNベースのメッセージフィルタリング
-
マルチクラス・テキスト分類
-
ログの異常検知
-
リアルタイム・ネットワーク異常検知
概要
本セクションは、ディープラーニング・ソリューションに関する知識を深めることを目的としています。前半は、畳み込みニューラルネットワーク（CNN）に特化して学習します。ここでは、CNNをテキスト分類の問題に適用するだけでなく、ゼロデイマルウェアの予測的識別にも活用する方法を探求します。
後半では、オートエンコーダーに焦点を当てます。オートエンコーダーの機能や動作原理、潜在表現の選択方法、再構成損失関数の仕組みについて学びます。そして、これらの知識を応用し、シグネチャや人手による介入を必要とせずに異常を特定する、自動ログ異常検知ソリューションを構築します。さらにその発展として、ネットワーク上の脅威を検知するための大規模なアンサンブル・オートエンコーダーの構築に向けた基本要素の実装に取り組みます。
機械学習の要点：Functional APIによるモデル構築とデプロイメント
本セクションでは、TensorFlowのFunctional API（関数型API）を活用した、複雑なニューラルネットワークの実装に焦点を当てます。また、効果的な合成データ生成、データ拡張（オーグメンテーション）、遺伝的アルゴリズムを用いたハイパーパラメータ最適化についても扱います。さらに、デプロイメント戦略として、リアルタイム性が求められるアプリケーション向けのスタンドアロン型ソリューションや、Docker/Kubernetesを利用したコンテナ化アプローチについても解説します。
取り上げられるトピック
ラボ
概要
本コースの最終セクションでは、引き続き畳み込みニューラルネットワーク（CNN）について扱い、回帰問題を解決するためのCNNや全結合ネットワークの応用方法を学びます。ここでは特に、TensorFlowのFunctional APIパターンを用いたディープニューラルネットワークの構築に重点を置きます。これにより、複雑な構造や複数の入力・出力を持つネットワークを構築できるようになります。これらの技術を学ぶための主要な課題として、ニューラルネットワークを用いてCAPTCHAの品質テストおよび解読を行うタスクに取り組みます。レッドチーム、ブルーチーム、あるいはパープルチームのいずれの役割であっても、コンピュータビジョンの一種であるこの課題に対し、機械学習を用いて95%以上の精度で解決策を導き出すための思考法と実践手法を学びます。その過程で、代表的な合成データを作成する際の重要な概念や、ジェネレーターを用いた合成データの構築方法、そして発生しうる問題点についても理解を深めます。また、データ拡張（オーグメンテーション）レイヤーの活用方法も学びます。
このプロジェクトに続いて、ハイパーパラメータ最適化への遺伝的アルゴリズムの適用について学習します。受講後、受講者が各自で遺伝的最適化を試せるよう、開始用のコードや構成（スターティングポイント）が提供されます。
コースの最後には、実践的なデプロイメント手法についての解説とデモンストレーションを行います。これには、リアルタイム性が不可欠なアプリケーション向けのスタンドアロン型デプロイメントや、それほど厳密なリアルタイム性が求められないアプリケーション向けに、Docker、Rancher、Kubernetesなどで利用可能な一般的なコンテナ化アプローチが含まれます。
