コースの概要
アラートに出てきた、見慣れないドメイン。どこまで調べれば、報告できるでしょうか。
答えは、その報告を誰が、何の判断に使うかで決まります。脅威インテリジェンスは、集めた情報を、守りの判断に使える形にする仕事です。この講座では、目的を決めるところから報告までを、手を動かしながら一通り経験します。
このコースで身につくこと
01
調べる目的を決める
誰が何を判断するための調査かを考え、調べることを絞り込めるようになります。
02
手がかりからたどる
1つのドメインやファイルから、IPアドレス、証明書、登録の履歴へと調査を広げられるようになります。
03
確かさを見極める
情報源の信頼性を評価し、分かったことと推定を分けて考えられるようになります。
04
報告にまとめる
分析の結果を、読む人に合わせた報告にまとめ、共有の範囲を決められるようになります。
対象の方と前提知識
こんな方に
- 脅威インテリジェンスの担当になった方、これから担当する方
- SOCやCSIRTで、アラートやインシデントの背景を調べる方
- 脅威レポートの情報を、自組織の判断に生かしたい方
受講の前にあるとよい知識
- ITとサイバーセキュリティの基礎知識
- TCP/IP、DNS、ドメインの基本的な理解
- フィッシングやマルウェアなど、サイバー脅威の基礎知識
2日間の内容
1日目に考え方と調べ方の基本を押さえ、2日目にツールを使って調べ、報告にまとめます。
1日目
考え方と調べ方の基本
脅威インテリジェンスとは
役割、インテリジェンスサイクル、調べる目的の立て方
攻撃者と攻撃の流れを知る
攻撃者の種類と動機、キルチェーン、MITRE ATT&CK、ダイヤモンドモデル
情報を集める
公開情報（OSINT）と脅威レポート、IoCとTTPの違い。調べる側の身元を明かさずに確かめる方法（Silo）
公開レポートを読み解く
実際の脅威レポートから、攻撃の流れと調べる手がかりを整理する
2日目
ツールで調べて、伝える
手がかりからたどる
GTI、DomainTools、Censysで、関連するドメイン・IPアドレス・証明書へ調査を広げる。GreyNoiseで、ログに出たIPアドレスが無差別の走査かどうかを見分ける
つながりを整理する
分かったドメイン・IPアドレス・証明書のつながりを、1つの図にまとめる
確かさを見極める
情報源の評価、分析の偏り、事実と推定の分け方
調べて、報告する
1つの事例を調べて短い報告にまとめ、発表する。報告をどこまで共有してよいか（TLP）と、調査で守る法と倫理も学ぶ
演習で使うツール
演習では、たとえば次のツールで実際に調べます。演習の環境は弊社で用意します。
ファイル・URL・ドメイン・IPアドレスの危険度を確かめ、通信先や関連するファイルへたどります。
ドメインの登録の履歴を見て、同じ登録者や同じサーバーにつながるドメインを探します。
IPアドレスで公開されているサービスや証明書を確かめ、同じ証明書を使うほかのサーバーを探します。
ログに出てきた送信元のIPアドレスが、インターネット全体を無差別に走査しているものか、そうでないかを切り分けます。
調べる側の身元や組織を明かさずに、不審なサイトやダークウェブを、分離した環境から確かめます。
実施の形とお申し込み
| 期間 | 2日間 |
|---|---|
| 形式 | 対面 |
| 言語 | 日本語で行います |
| 人数 | ほかの組織の方と一緒に受講する公開講座で、合わせて10名以上で開催します。1つの組織で10名以上のときは、その組織だけで開催します |
| 機材 | PCなど必要な機材は、弊社で用意します |
| 費用 | 人数と日程に合わせてお見積りします。お問合せください |
お申し込みまでの流れ
01
お問合せ
人数や時期、受講の目的をお知らせください
02
ご相談
日程と費用をご案内します
03
お申し込み
受講者と人数を確定します
04
受講前のご案内
実施場所・日時などをお送りします
05
受講
2日間の講座を受けていただきます
関連する研修
Mandiant Academy
Mandiantのチームによるトレーニングです。インテリジェンス分析の基礎から、OSINTの調査、報告の書き方まで、より深く学べるコースがあります。
英語・同時通訳
Maltego トレーニング
Maltegoの操作と、Maltegoを使った調査の進め方を学ぶ対面のトレーニングです。サイバー脅威インテリジェンスなどのテーマを選べます。
日本語・2〜4日間
FAQ
- ツールを契約していなくても受講できますか。
- オンラインで受講できますか。