ICS515 PC設定詳細

注意：OSに対する管理者権限アクセスと、全てのセキュリティパッチなどを適用した環境をご用意ください。ファイアウォールやホストベースで動作するセキュリティツールなどは、演習に際して設定を変更していただく場合がありますので、忘れないようにしてください。

ノートパソコンのハードウェア要件、ソフトウェア要件

• 64ビット環境のシステムであること
• ノートPCで、ホストまたは仮想化によりWindows10がインストール済みであること
• 最低でも2つのUSBポートがあること
• VMware Player（バージョン7以降）、VMware Workstation（バージョン11以降）、あるいはVMware Fusionがインストールされていること。
• ファイアウォールやウイルス対策ソフトを含む全てのセキュリティソフトウエアの機能を無効化できること。
• 最低でも100GB以上のストレージ空き領域があること
• 最低でも6GB以上（8GBを推奨）のメモリを搭載していること
• ホストOSに対するローカル管理者権限や、BIOS設定の変更可能な権限を有していること
• 無線ネットワーク接続ができること（802.11 B/G/N/ACのいずれか）

※ノートパソコンの設定については、米国SANSサイトの該当ページにも掲載されています。
ノートパソコンの設定要件は、OSやVMwareのリリースやバージョンアップの状況に応じて随時更新されますので、本ページと米国SANSページの設定要件が異なる場合は、「米国ページ」の方を優先してください。（リンク先ページの”Laptop Required”タブよりご確認ください。）！

ノートパソコンの設定に関して追加で質問がある場合は、info@sans-japan.jp（NRIセキュアテクノロジーズ）にお問い合わせください。ただし、米国と問合せを行う関係上時間を要する場合がございます。お急ぎの方はlaptop_prep@sans.orgに直接お問い合わせください（英文）。

コース概要

「ICS515：ICS アクティブディフェンスとインシデントレスポンス」は、ICSのサイバー攻撃をひもといて、アクティブディフェンスという考え方を採用することで、あなたのICSに対する脅威を特定し、対応を支援できるようになることを目指しています。また、インシデントレスポンスの手順により、安全で信頼性の高い運用が可能になるでしょう。

本コースでは、ネットワーク化された産業制御システム（ICS）環境の理解から、システムに対する脅威の監視、特定された脅威へのインシデントレスポンス、および攻撃者と対峙可能なネットワークセキュリティの強化につなげていくようになっています。また、ネットワークの監視プロセスや対応、脅威からの学習こそがアクティブディフェンスであり、これはStuxnet、HavexやBlackEnergy2などに代表される高度な攻撃から、皆様のICSが標的となった場合、防御するために必要なアプローチとなるでしょう。受講生がこのコースを終了すると、現実的なマルウェアによるICSへの攻撃についてハンズオンを通じた体験から、ICSに対する標的型攻撃を識別する能力を習得し、攻撃者に対応することが可能になります。脅威情報の確認やネットワークセキュリティ監視、マルウェア分析、インシデントレスポンスといったアクティブディフェンスコンセプトを用いて、実践的かつ技術的な理解をすることで、安全で信頼性の高いICSの運用が可能になるでしょう。本コースで紹介する戦略とテクニカルスキルは、ICS組織において実行可能な防御の基礎となるものです。

主な内容：

• セキュリティ運用に注力したインシデントレスポンスを実施し、運用の安全性と信頼性を優先させる方法。
• 環境を維持するために必要な、脅威情報の生成プロセス、コミュニティからの入手方法や活用方法。ICS脅威情報の詳細な分析と適用を定期的に行うスキル。
• 資産とそのネットワークトポロジを特定する方法、および注目すべきICSでの異常や脅威を監視する方法。ICSネットワークセキュリティ監視などの方法論と制御システムの脅威環境を低減するための方法。
• 素早く環境の特定をするために必要な、重視すべき情報と脅威の根本原因の理解につながるマルウェアの分析方法
• 攻撃を受ける中で、運用チームや意思決定者に対して、稼動停止をするか否かの指示を行うために必要な情報の取得方法。
• アクティブディフェンスと防護を目的とした、複数のセキュリティ施策の相互連携方法。テクニカルコンセプトとハンズオンの二つで補強します。

本講座受講にあたっての前提

• ITまたはICSの経験がある方のほか、SANSのICS410、SEC401またはそれらと同等のサイバーセキュリティに関する経験をお持ちの方。ICSに関する経験は必須ではありませんが、SCADA、DCS、PLC、RTUなどのICS用語やOT環境におけるリスク分解と緩和アプローチに関する理解があることをお勧めします。
• 以下のコースの受講経験者
  ・ICS410
  ・SEC401
• コース前提として、ICS410、SEC401、あるいは同等のスキルを持っていること。

本コースを受講後にお勧めのコース：FOR578、FOR572、FOR508、FOR610、SEC511

受講対象者

• ICSインシデントレスポンスチームのリーダーまたはメンバーで、ICSを安全に運用するために必要な、高度な脅威に対応する方法に学びたいと考えている方。
• ICSや運用、およびセキュリティプロフェッショナルで、ICSアクティブディフェンスを活用し、ネットワークセキュリティ監視や脅威情報の取組みについて学びたい方
• ITセキュリティプロフェッショナルで、ICSプロトコル、脅威、優先順位など、ICS分野の知識を伸ばしたい方
• SOCチームやアナリストで、ICS SOCやデュアルIT/OT SOCにおいて、OTネットワークやICS資産を関する方法を学びたい方
• ICSレッドチームとペネトレーションテスターの方で、最新の防御戦略のなかで、　最大限のパフォーマンスを発揮し、ICSネットワークの改善ポイントを見出したい方
• アクティブディフェンスを担当する方で、自ら高度な標的型攻撃を特定し、対応する方法を学びたい方

講義内容の一例

• ネットワークにおける高度な脅威を特定するうえで、必要なネットワークの基本情報を得ることを目的としたICSネットワークの検査、資産情報やそのデータフローを特定します。
• アクティブディフェンスのコンセプトを活用し、脅威情報の使いかたやネットワークセキュリティ監視、マルウェア分析など、ICS防御に焦点を定めたインシデントレスポンスの進め方を理解します。
• CYBATIworksキットなどを使用した独自PLCの作成をします。
• Havex、BlackEnergy2、Stuxnetなどを含むハンズオン経験をもとに、脅威を理解する分析について理解します。
• Shodan、Security Onion、TCPDump、Netowork-Miner、Foremost、Wireshark、Snort、Bro、SGUIL、ELSA、Volatility、Redline、FTK Imager、PDFアナライザ、マルウェアサンドボックスなどもハンズオンで使用します。
• OpenIOCとYARAを使用したIOCの作成を行うと共に、STIXやTAXIIなどの共有情報を理解します。
• Sliding Scale of Cybersecurity、Active Cyber Defense Cycle、ICS Cyber Kill Chainを活用した、脅威情報からの情報抽出とICSネットワークセキュリティに対して長期的な成功を収めるための推奨事項を理解します。

ハンズオン

• CYBATIworksキットを用いたPLCの構築。
• Shodanを用いた資産情報の確認。
• 競合仮説分析
• ラボネットワークにおけるATPの影響を受けたHMIへの対応方法の支援を通じた新規スキルの確認。
• ATPマルウェアの影響を受けたシステムの特定と、分析可能な脅威サンプルの組立て。
• アクティブディフェンスを完遂するために、特定されたAPTマルウェアに対して実施するマルウェア
• 分析や情報の抽出、およびYARAルールの開発。
• 2種類のシナリオに基づくハンズオンの実施。
  　1．SANS Cyber Cityへの侵入から得られたデータの分析
  　2．マルウェア感染したDCSから得られたデータ分析

本サイトに記載されている、各会社名、各製品名は、各社の商標または登録商標です。