本コースでは、VMwareイメージとして、12GBを超えるLinux仮想マシンファイルを使用します。そのため、HDD空き領域として100GBを超える空き領域があることだけではなく、ファイル単体で3GBといった大容量ファイルの読み書きができるファイルシステムである必要がありますので、NTFSファイルシステムで構成した環境をご用意ください。また、VMwareイメージとして、Windows10仮想マシンファイルも含まれているため、ラボでは、ホストシステムの代わりに使用することもできます。

重要事項：演習によっては、ウィルス対策ソフト（製品）を一時的に無効にしていただく場合がありますので、ウィルス対策ソフトを無効にできる管理者権限が利用できることを必ず確認してください。ウィルス対策ソフトのサービスやプロセスを停止すればよいか、という考えは間違いです。ほとんどのウィルス対策ソフトはたとえサービスやプロセスを停止したとしても、まだ機能は有効なままです。多くの企業でクライアントを管理しているウィルス対策ソフトは、クライアントのAdministratorアカウントと別のパスワードを設定してあります。必ずウィルス対策ソフトの管理者パスワードを確認しておいてください。
システムにエンタープライズグループポリシーを適用しないでください。これらのポリシーは、演習に影響を与える可能性があります。VPNクライアントは、講義に参加する際に必要なネットワーク構成を妨げる可能性がありますので、インストールされている場合には、アンインストールしてください。

演習では、VMwareを使用してWindowsとLinuxのOSを2つ同時に使用します。受講前に、VMware Workstationをシステムにインストールしておいてください。VMware Workstationのライセンスを持っていなくても、30日間はフリートライアル期間として利用することができます。VMwareウェブサイトに登録すれば、期限付きのシリアルナンバーが送られてきます。
また、MacbookやMacbook Proを使用する場合には、VMware Fusionをインストールしておいてください。
VirtualBoxは本コースのサポート対象外となり演習の妨げになりますので、インストールしないでください。

このコースでは、アタックツール一式が入ったUSBメモリを受講者に配布し演習を行います。使用後にお持ち帰りいただき、すぐに今後の分析に役立てることができます。また、ツールを事前インストールしたLinuxイメージ も配布しますので、 VMware Workstation上ですぐにご利用いただけます。

VMware用のLinuxイメージを配布するので、受講者がLinuxシステムをご持参いただく必要はございませんが、仮想マシンを動作させるためVMware Workstationをご用意する必要があります。VirtualPCなどVMware以外の仮想化ソフトウエアは、受講時のサポート対象外となりますのでご注意ください。

Linuxにあまり慣れていない方向けに、Linuxを紹介した短時間の動画を用意しています。

インフラの保護は、セキュリティリスクとそれに相反する業務需要のバランスをとる複雑な任務です。新しい脆弱性がほとんど毎日のように発見されており、絶えず侵入される脅威が存在します。オンラインによる侵入に加えて、火災や洪水といった自然災害や犯罪などの脅威もあります。こういった事態に見舞われた場合に備えて、システムやサービスをできるだけ早く安全に復旧させるための適切なインシデント対応手順が必要です。

本日の第1部は、とても有益なIncident Handling Step-by-Stepモデルに沿って進みます。このモデルは、企業、政府機関、教育機関に所属する経験豊富なインシデントハンドラ達のコンセンサスを得て作成されたもので、何百もの組織において効果的であることが実証されています。このセクションで、コンピュータインシデントに備え、対処にあたって踏襲する必要のある6段階のプロセス（準備、識別、コンテインメント、根絶、回復、教訓）による完全なインシデントハンドリングプロセスの導入方法を提供します。

第2部ではアタッカーを特定するのに何が有効であるか、事例を通して検証します。システム管理者がアタッカーを捕捉する確率を高め、彼らを起訴するために価値あるデータを提供します。

トピック

準備

• インシデント対応キットの構築
• 中核となるインシデント対応チームの特定
• サイトとシステムの設置・運用

識別

• インシデントの兆候
• 最初のステップ
• Chain of custody（CoC）
• 内部の脅威の検出と対処

隔離

• ドキュメンテーション戦略：ビデオ・オーディオ
• 隔離と検疫
• ネットワークケーブル、スイッチ、サイトの抜線
• トラストモデルの識別と分離

根絶

• バックアップが侵害されていないかの評価
• OSの完全再構築
• 新しいアーキテクチャへの移行

回復

• 誰が本番環境に戻す決心をするのか
• システムの監視
• 攻撃の増加を意識

様々な種類のインシデントに対応するための特別なアクション

• スパイ
• 不適切な利用

インシデントの記録と管理

• 事前に用意したフォーム
• 法的許容性

教訓

• 教訓ミーティング
• 将来におけるプロセスの変化

一見したところ無害に思えるデータの漏えいでも、システムに大きなダメージを与える手がかりをアタッカーに提供している可能性があります。コースの2日目は、予備調査とスキャンについて詳しく学習します。いずれも多くの攻撃において最初のフェーズにあたるものです。

ネットワークは、潜在的なアタッカーに莫大な量の情報を晒しています。アタッカーは情報漏えいを探すばかりでなく、システムを細かくスキャンして防御壁を切り崩そうとしています。脆弱なDMZシステムやファイアウォールやセキュアでないモデムなどの盲点やますます普及しているワイヤレスLANを突いて、ネットワークに押し入る機会を狙っているのです。アタッカーは侵入源や侵入の意図をわかりにくくする手段として、逆スキャンやブラインドスキャン、バウンススキャンを採用する傾向にあります。また、狙いを定めたネットワークの通信ルールを知って悪用する目的で、ファイアウォールも標的とするのです。コンピュータアタックの世界で最も注目すべきもう1つの分野は、侵入検知システムの回避や警報をすり抜ける技術です。

もし、これらの危機的な攻撃フェーズを詳しく理解するために必要な技術を有していないのであれば、システムを守ることは不可能です。このコースを受講することで、こうした攻撃とその対処法の数々について理解することができるでしょう。

このコースで学んだツールや技術を自分の組織のシステムに適用する前に、関係部署に必ず書面で許可を得る必要があります。また、ネットワークおよびコンピュータ運用チームにテストスケジュールを通知する必要もあります。

演習

• OSINTを使用した攻撃偵察
• 不正、悪意のある、また誤って設定されたアクセスポイントのWi-Fiネットワークスキャン
• Nmapを使用したサーバーの列挙と分析
• 脆弱性スキャンと優先順位付けの発見
• Windowsネットワークスキャンおよび一覧化の手法

トピック

偵察

• SpiderFootによるOSINTデータ収集の集約
• ネットワークから読み取れるもの
• 多くの情報を出しすぎていないか
• Whoisルックアップ・ARIN・RIPE・APNICの利用
• Domain Name System（DNS）からの情報収集
• 求人情報・Webサイト・政府のデータベースからの情報収集
• Recon-ng
• Pushpin
• 公的に侵害されたアカウントの特定
• Maltego
• メタデータ分析のためのFOCA

スキャン

• 個人および組織WiFiの調査と攻撃
• 独自仕様のワイヤレスシステムの特定と探索
• Rubber Duckie攻撃によるWi-Fiプロファイルの盗取
• War-VOXを用いたウォーダイアリングによるモデム走査と安全でない電話
• ポートスキャン：従来型・ステルススキャン・ブラインドスキャン
• アクティブおよびパッシブOSフィンガープリンティング
• ファイアウォールフィルタリングルールの決定
• Nessusやその他のツールを用いた脆弱性スキャン
• ブラックリスト回避のためのクラウドエージェントを使用した分散スキャニング

侵入検知システム（IDS）の回避

• ネットワークレベルでのIDSの無効化
• アプリケーションレベルでのIDSの無効化：コンピュータ言語の複雑な構文の悪用
• Web攻撃におけるIDS回避
• TCPの難読化によるIDS/IPSの回避

Windows Active Directoryのターゲット一覧化

• BloodHoud、SharpViewによるWindows Active Directoryドメインの一覧化
• PowerShell EmpireによるWindows Command and Control
• LinuxからWindowsターゲットへのOSブリッジング
• 洗練されたWindowsネットワーク機能によるSMB攻撃に対する防御

アタッカーは新手の方法で次々とネットワークやシステムを攻撃してきます。その上、彼らの技術は日々高まっているのです。3日目のテーマはアクセス権取得です。

アタッカーはシステム乗っ取りのために、ネットワークレベルからアプリケーションレベルに至るまで様々な戦略をとっています。このセクションでは、バッファオーバーフロー、フォーマットストリング攻撃から、おおむねセキュアだとされているプロトコルのセッションハイジャックといった最新の攻撃まで広く深く解説します。さらに、スニッファや目覚しく柔軟性のあるNetcatツールを使用した演習を行います。

システム管理者は、現実にこうした攻撃を阻止できるよう、攻撃および関連する防御機能についてその要点を押さえる必要があります。コースでは、各攻撃ごとにその脆弱性、様々なツールを使用した悪用方法、攻撃の形跡、攻撃に対してシステムやアプリケーションを強化する方法を説明します。倫理使用誓約書に署名した受講者には、コースで検証した攻撃ツールが入ったUSBを差し上げます。

このコースで学んだツールや技術を自分の組織のシステムに適用する前に、関係部署に必ず書面で許可を得る必要があります。また、ネットワークおよびコンピュータ運用チームにテストスケジュールを通知する必要もあります。

演習

• 資格情報収集のためのDNSおよびWindowsネットワークの操作
• Netcatによるファイル転送、バックドア作成、リレー中継
• Metaspoloit、Metaspoloit、ひたすらMetaspoloit
• ARPとMACの分析によるARPキャッシュポイズニングの検出

トピック

物理層攻撃

• USBポートの秘密の悪用
• 資格情報の回復のための簡単なネットワーク偽装
• コールドブート回復ツールを使用したパスワードライブラリのハイジャック

パケットの収集と解析

• アクティブスニッフィング：ARPキャッシュポイズニング・DNSインジェクション
• Bettercap
• Responder
• LLMNRポイズニング
• WPADアタック
• DNSキャッシュポイズニング：インターネット上のトラフィックのリダイレクト
• Netcatの使用と悪用：バックドア・悪質なリレー
• 様々なIPアドレススプーフィング
• 暗号化回避およびダウングレード攻撃

OSとアプリケーションレベルの攻撃

• バッファオーバーフローの詳細
• Metasploit：エクスプロイトフレームワーク
• アンチウイルスとアプリケーションホワイトリストのバイパス技術

Netcat：攻撃者が悪用する手口

• ファイルの転送・バックドアの作成・リバースシェル
• 攻撃の要因としてのNetcatリレー
• リプレイ攻撃
•  

エンドポイントセキュリティバイパス

• 攻撃者はどのようにOffice文書のマクロ攻撃を利用するのか
• Veil、Magic Unicornによるバイパス検知
• PowerShellを攻撃ツールとして機能させる
• Ghostwritingによるアンチウイルス回避
• ネイティブバイナリによる攻撃ツールの変容

4日目は、アタッカーがシステムを侵害する際に好んで用いるテクニックを取り上げることからスタートします。それはパスワード攻撃です。パスワードの推測とスプレー攻撃、パスワードクラッキング、最新のパスワードマスク回復テクニックなど、パスワードの保存と選択に対して適用される複数の攻撃テクニックを分析します。続いて、テーマはアタッカーに悪用されることが多いもう1つの重要な分野に移ります。それはWebアプリケーションです。自家製Webアプリケーションのほとんどは商用ソフトウェアのセキュリティ検査を受けていないため、アタッカーはこうしたターゲットに対してSQLインジェクション、クロスサイトスクリプティング、セッションクローニングほか、様々なメカニズムを用いて悪用するのです。これらの詳細を見ていきます。

不愉快なDoS（サービス拒否）攻撃の分類についても取り上げ、アタッカーがいかにしてサービスを停止したりリソースを枯渇させたりするのか、そしてアタッカーの非道な行為を阻止するために我々が取るべき行動とは何か、についても見ていきます。

また、侵入者はシステムへのアクセス権を一度獲得すると、そのアクセスを保持し、煩わしいシステム管理者やセキュリティ担当者達に自分の存在をかぎつけられないよう立ち回ります。

アタッカーは、ターゲットを欺くべく、バックドアツールをインストールしたりシステム内のソフトウェアをいじったりして、彼ら流のやり方でアクセスを維持します。

こうした攻撃の数々を防御するためには、アタッカーがシステム侵害につながる些細なきっかけを検知するためにいかにしてシステムを改ざんするのか、理解する必要があります。受講することで、アタッカーによるアクセスの保持と痕跡の隠ぺいから身を守るための知識とツールのスキルを身につけることができるでしょう。

このコースで学んだツールや技術を自分の組織のシステムに適用する前に、関係部署に必ず書面で許可を得る必要があります。また、ネットワークおよびコンピュータ運用チームにテストスケジュールを通知する必要もあります。

演習

• John the Ripperによるパスワードクラッキング
• Hashcatによる情報に基づいたパスワードクラッキングマスク攻撃
  Browser Exploitation Frameworkを使用した悪意のあるブラウザ乗っ取り攻撃
• Webアプリケーションへの攻撃　クロスサイトスクリプティング、SQLインジェクション
• DoS攻撃の検出

トピック

パスワードクラッキング

• John the Ripperによるパスワードクラッキング
• Hashcat マスク攻撃
• 現代のWindows Pass-the-Hash攻撃
• パスワード推測およびスプレー攻撃

Webアプリケーションへの攻撃

• アカウントハーベスティング
• SQLインジェクション：バックエンドのデータベースの操作
• セッションクローニング：他のユーザのWebセッションを盗み出す
• クロスサイトスクリプティング

サービス不能攻撃（DoS攻撃）

• 分散サービス不能攻撃（DDoS攻撃）：Pulsing Zombiesとリフレクション攻撃
• ローカルDoS攻撃

5日目は多くのハッカー攻撃の第4、5段階を学習します。
それは、アクセスの維持と痕跡の隠ぺいです。 コンピュータアタッカーはバックドアをインストールしてRootKitを適用し、時には自らの非道な行為を隠すためにカーネルそのものまで操作してしまうこともあります。こうしたツールのカテゴリごとにそれぞれ、システム保護のための特別な防御策というものがあります。このコースでは、もっとも一般的に使用されている悪意のあるコードのサンプルを分析し、BIOSレベルや結合したマルウェアの可能性を含めてマルウェアの将来動向について研究します。

アタッカーはその痕跡を消すのに、ファイル、スニッファ、ネットワーク使用履歴、活動プロセスを隠すという方法をとることもあります。加えて、最強のステルススニッフィングバックドアを使用して調査の目を逃れることが次第に多くなっています。最終的にアタッカーはシステムログを改ざんし、侵害されたシステムが全く問題なく見えるように仕向けるのです。受講することで、コンピュータやネットワークへのこうした活動を検知し、それに対抗するのに必要なツールやテクニックについてのスキルを習得することができるでしょう。

このコースで学んだツールや技術を自分の組織のシステムに適用する前に、関係部署に必ず書面で許可を得る必要があります。また、ネットワークおよびコンピュータ運用チームにテストスケジュールを通知する必要もあります。

演習

• ルートキット検出
• Netstat、lsofによるバックドア検出
• 攻撃を隠すためのWindowsイベントログの操作
• 攻撃を識別するためのメモリダンプの分析
• Covert_TCPを使用したチャネルの変換

トピック

アクセスの維持

• バックドア：Poison Ivy・VNC・Ghost RAT、その他のバックドア
• トロイの木馬とバックドア：面倒なコンビネーション
• ルートキット：バイナリ実行ファイルへの細工
• カーネルレベルのルートキット：OS中心部を攻撃する（Rooty・Avatar・Alureon）

その他本講義でカバーする事項

• ファイルとディレクトリの偽装と隠蔽
• WindowsとUNIXでのログファイル編集
• アカウントエントリの編集：UTMP・WTMP・シェル履歴等
• HTTP・ICMP・TCPおよび他のプロトコルを介した隠しチャネル
• スニッフィングとバックドア
• ステガノグラフィ：画像・音楽・バイナリなどへのデータ隠蔽
• 攻撃に対するメモリ解析

まとめ

• 攻撃者が様々なツールを実際に利用するシナリオ例
• 現実世界の攻撃に基づいたシナリオ分析
• 実際の組織への攻撃から学ぶ
• 最新の攻撃情報とトレンドを入手するために

セキュリティ産業はハッカーを止めるために何年もかけて高度化し、効果的な対策を打ち出しながら成長してきましたが、残念ながらハッカーツールもまた、進歩と複雑化の一途をたどっています。敵を食い止めるのに最も効果的な方法のひとつは、アタッカーが使用していると想定されるツールや戦術でテストを行うことです。

最終日は、このコースで学習してきたことを実際に試してみていただきます。地球上で最も危険なネットワークのひとつに接続します。このネットワークはインターネット環境をシミュレートしたもので、稼動しているマシンに対する実際の攻撃にトライし、こうした攻撃に対する防御方法を学ぶことができる環境です。すでに学んだ内容を補完し、受講生に明快な理解を促すため、アタックツールを使用して対策を講じる時間を設けます。インストラクターが、悪用事例としてまさに発生している事態と防御策の実行についてガイダンスを行います。受講生が様々な悪用事例に取り組み、マスターして行くに従って環境はますます厳しいものとなるので、受講生は演習を成功させるためさらなるスキルの習得に迫られることになります。

さらに、Capture The Flagゲームが待っています。この魅力的なゲームでは、システムに侵入し、不明瞭なフローを検知し、パズルを解くようなテクニックを使用することで、習得してきたスキルを試すことになります。一着でゴールした方にはごほうびがありますよ。

お持ちいただいたノートPCは攻撃を受けることになります。重要な情報等は絶対にシステムに格納しないでください。演習中、他の受講者にアタックを仕掛けられたとしても、SANSは一切の責任を負いません。要件を満たした機器を事前に正しく設定してご持参いただければ、このコースで習得する内容を最大限に活用することができ、楽しんでいただけることでしょう。

トピック

ハンズオン

• Nmapポートスキャナ
• Nessus脆弱性スキャナ
• ネットワークマッピング
• Netcat：ファイル転送・バックドア・リレー
• Microsoft Windowsネットワーク一覧化と攻撃
• Metasploit
• 組み込みOSコマンドを悪用したエクスプロイト
• 権限昇格
• 高度な侵入テクニック