はじめにと主要ツール
高度なパープルチーム手法の基礎を学びます。ラボ環境の構築、パープルチームのプロセス、検知エンジニアリング、および攻撃者エミュレーション（模倣）に焦点を当てます。受講者は、包括的なハンズオン演習を通じて、自動化、ツール活用、検知戦略について理解を深めます。
取り上げられるトピック
-
コースの目的
-
ラボ環境のアーキテクチャ
-
検知スタックの基礎
-
テレメトリ分析
-
自動エミュレーション戦略
ラボ
-
VECTRの概要
-
ElasticおよびSIGMAスタックの準備
-
攻撃者エミュレーション用スタックのセットアップ
-
Prelude Operatorの設定
概要
第1セクションでは、その後の講義の土台を築くために、以下の内容に取り組みます。
-
自動化技術を活用したラボインフラの展開
-
プロセス、アプローチ、ツールを含む、社内パープルチーム構築方法の学習
-
VECTRを用いたパープルチーミング演習の追跡・管理
-
Windowsシステムがテレメトリ（ETW、カーネルコールバックなど）を生成する仕組みといった低レイヤーの視点を含め、全体的な検知スタックの構成を提示
-
検知エンジニアリングの原則（ルールベース検知対アノマリ検知、テクニック中心の検知対ツール中心の検知など）
-
無償で利用可能なツールを用いた、攻撃者エミュレーション（adversary emulation）スタックの構築方法
-
最初のセクションではありますが、5つの異なる演習を完了する実践重視（ハンズオン）の内容となっています。
トピックスの詳細
-
はじめに
-
コースの目的
-
ラボ環境の構築
-
ラボのアーキテクチャの紹介
-
パープルチーミング組織
-
主要なツール
初期侵入手法のエミュレーションと検知
最新の攻撃手法およびエンドポイント防御メカニズムについて包括的に学習します。受講者は、Microsoftの組み込みセキュリティ機能を調査し、AMSI、AppLocker、およびAttack Surface Reduction（攻撃対象領域の縮小）の回避手法を理解するとともに、高度なEDR（Endpoint Detection & Response）回避戦略を検証します。
取り上げられるトピック
ラボ
概要
セクション2では、まず「初期実行（Initial Execution）」段階における最新の攻撃手法と防御策の概要を解説します。特に、Microsoftが提供する組み込みの防御機能であるAMSI（Anti-Malware Scanning Interface）に焦点を当てます。AMSIの仕組みや有効性、そして回避（バイパス）が可能かどうかについて掘り下げます。続いて、以下のモジュールへと進みます。
AppLockerを使用したエンドポイントでの実行制御：Windows 7で導入されたAppLockerは、悪意のあるペイロードの実行を防ぐためのアプリケーション制御技術です。その有効性を検証し、いくつかの回避手法を実際に試します。
ASR（Attack Surface Reduction：攻撃対象領域の縮小）ルールを使用したエンドポイントでの実行制御：Windows 10で導入されたASRルールは、悪意のあるペイロードの実行を防ぐための追加のセキュリティ層です。その有効性を検証し、いくつかの回避手法を実際に試します。
EDR（Endpoint Detection & Response）の回避戦略：子プロセス・親プロセスのプロセスID（PID）のなりすまし、コマンドライン引数のなりすまし、プロセスインジェクションやプロセスハロウイング、ダイレクトシステムコールなど、複数の回避手法を取り上げます。EDRツールの普及により、組織はエンドポイントにおける詳細な検知と迅速な対応が可能になりました。こうしたツールはセキュリティの状況を一変させ、攻撃者に新たな工夫を強いることとなりました。なお、この部分はかなり技術的な内容になりますのでご注意ください。
ラボの詳細
-
VBA Stomping、Purging、およびAMSIのバイパス
-
AppLockerの有効化とバイパス
-
Attack Surface Reduction（攻撃対象領域の縮小）のバイパス
-
Child-Parent Spoofing（親子関係の偽装）
-
Process Hollowing
-
Direct System Call（直接システムコール）
トピックスの詳細
-
初期侵入戦略
-
攻撃者の手法の模倣と検知
-
エンドポイントセキュリティ製品の回避
権限昇格およびラテラルムーブメントのシミュレーションと検知
Active Directory（AD）における偵察、認証情報の窃取、および高度なラテラルムーブメント（横展開）の手法について深く掘り下げます。受講者は、ADリソースの列挙、認証情報の窃取、そしてネットワーク環境全体にわたる高度な攻撃戦略の実行に関する包括的な手法を学びます。
取り上げられるトピック
-
Active Directoryリソースの列挙
-
認証情報ダンプの手法
- Kerberos攻撃戦略
-
委任（Delegation）機能の脆弱性調査
-
高度な認証バイパス手法
ラボ
概要
セクション3では、以下のトピックを扱います。
Active Directory（AD）のリソースや設定を列挙し、AD環境全体の攻撃面をマッピングします。
Local Security Authority Subsystem Service （LSASS）プロセスについての理解。その役割と、従来どのような手法で攻撃されてきたのかを解説します。Security Support Provider（セキュリティサポートプロバイダー）や認証パッケージといったトピックについても掘り下げて説明します。続いて、Mimikatz、Dumpert、ProcDumpなどの各種ツールを使用したLSASSダンプ攻撃の実行と検知に焦点を当てます。
セキュリティ製品がLSASSを重点的に監視していることを踏まえ、他の認証情報ダンプ手法についても調査します。攻撃者はLSASSに触れることなく、どのように認証情報を窃取できるのでしょう。主な手法として、Internal Monologue（NTLMv1へのダウングレード）、NTDS.ditの窃取、DCSyncなどを取り上げます。
ネットワークレベルのアクセス権（またはネットワーク接続デバイス上での初期ペイロードの実行権）がある状況で、他のWindowsシステムを強制的にこちらへ接続させることにより、さらなる認証情報を入手するにはどうすればよいでしょう。LLMNR（Link-Local Multicast Name Resolution）の悪用や、IPv6ベースの中間者攻撃（MITM）といったトピックを扱います。
Kerberosの復習と、Kerberoasting、ASReproasting、ゴールデンチケット、シルバーチケット、Skeleton Key攻撃といった従来の手法の再確認をします。その後、高度な攻撃戦略、特に委任（デリゲーション）に関連する攻撃に焦点を当て、委任攻撃やActive Directory Certificate Services（AD CS）の悪用について解説します。
ラボの詳細
-
BloodHoundの攻撃チェーンの分析
-
LSASSからの認証情報の窃取
-
NTLMv1へのダウングレードにおける内部動作
-
NTLMv2チャレンジ・レスポンスの巧妙な窃取
-
非制約付き委任（Unconstrained Delegation）の悪用
-
制約付き委任（Constrained Delegation）の悪用
-
Active Directory証明書サービスの悪用
トピックスの詳細
永続化（Persistence）のシミュレーションと検知
Active Directory環境における永続化戦略を検証し、不正アクセスを維持するための高度な手法に焦点を当てます。受講者は、COMオブジェクト・ハイジャック、WMI永続化、隠密性の高いAD侵入手法といった複雑な手法について調査・実践します。
取り上げられるトピック
-
クロスドメイン侵入
-
永続化手法の開発
-
高度なシステム操作
-
隠密性を維持したアクセス継続戦略
ラボ
-
ドメインおよびフォレスト間のピボッティング
-
COMオブジェクト・ハイジャック
-
WMI永続化のメカニズム
-
NetshヘルパーDLLの実装
-
Officeアプリケーションを利用した永続化手法
概要
本セクションでは、Active Directory（AD）環境におけるセキュリティ境界と、攻撃者が異なるドメインやフォレスト間をどのように切り替えるかについて検証します。攻撃者が用いる典型的な永続化（persistence）の手法と、それらを検知するための一般的な戦略についても取り上げます。また、本セクションでは以下のモジュールも扱います。
-
Component Object Model（COM）を悪用して標的環境に永続的な足場を築く手法（Phantom COM Objects や COM Search Order Hijacking などの攻撃手法を解説します）
-
Windows Management Instrumentation（WMI）を利用した永続化（WMI Event Filters、Event Consumers、および Event Filter と Consumer のバインディングについて解説します）
-
AppCert、AppInit、Netshell などのダイナミックリンクライブラリ（DLL）を介した永続化の確立
-
Microsoft Office を活用した永続化（テンプレートの悪用や悪意のあるアドインに焦点を当てます）
-
Application Compatibility Toolkit を悪用し、アプリケーション Shimを介して永続化を図る手法
-
AD を利用したステルス性の高い永続化手法
ラボの詳細
-
ドメインおよびフォレスト間の移動
-
COMオブジェクト・ハイジャック
-
WMIによる永続化
-
NetshヘルパーDLLの実装
-
Officeによる永続化
-
アプリケーション・シミング
-
ステルス性の高いAD永続化
トピックの詳細
-
ドメインおよびフォレスト間の移動
-
永続化の手法
-
結論
エミュレーション・プラン（CTF環境への継続的なアクセス）
高度な脅威アクター・グループを対象とした、包括的な脅威エミュレーション・プランの策定と実行を行います。受講者は、Caldera、Covenant、Prelude Operatorといった高度なツールを使用し、APT-33、EvilCorp、APT-28、APT-34、Turlaに関する詳細なシナリオを作成します。
取り上げられるトピック
ラボ
概要
本コースのこのセクションでは、APT-33、EvilCorp、APT-28、APT-34、Turlaという5つの特定の脅威アクターを対象としたエミュレーション計画を策定します。計画の策定後、Caldera、Covenant、Prelude Operatorを使用してそれらを実行します。コース修了後、参加者は企業環境への侵入や防御を競う本格的なCTF（Capture The Flag）に参加できます。受講者は、コースを通じて学んだすべてのツールや技術を、講義終了後も最大7日間にわたって活用することができます。
トピックの詳細
