Advanced Security Essentials - Enterprise Defender

Defensive Network Infrastructure

攻撃からネットワークを守るには、強固なネットワークインフラにするための設計、構築、実装からスタートします。Defense In-Depth（多層防御）の実装には多くの要素があるのですが、企業は機能性にばかり気をとられ、見落としがちです。事業推進と情報保護のバランスをとるのは非常に困難な上、組織としては、発生し得るいかなる攻撃からも回復力のあるネットワークを構築しなくてはなりません

コース初日は、攻撃を阻止し、侵害を受けた後に回復可能なネットワークを設計および構築する方法ばかりでなく、既存のネットワークが要件通りの防御レベルに到達するよう改良する方法についても学習します。ただ単にネットワークを構築するだけなら簡単ですが、様々な攻撃に対応して組織のミッションを達成すべく全てのコンポーネントを結合させるには、特別なスキルが必要です。機能性に富んだ安全なネットワークを設計および実装する方法に加え、脅威の動向に従って維持と更新を行う方法についても学習します。

• Introducing Network Infrastructure as Targets for Attack
  • Impact of compromised routers and switches
  • Escalating privileges at layers 2 and 3
  • Weaknesses in Cisco router and switch architecture
  • Integrating and understanding existing and network devices to defend against attacks
• Implementing the Cisco Gold Standard to Improve Security
  • CISecurity Level 1 and 2 Benchmarks for Routers
  • SANS Gold Standard switch configuration
  • Implementing security on an existing network and rolling out new devices
• Advanced Layer 2 and 3 Controls
  • Routing protocol authentication
  • Filtering with access control lists
  • DHCP, ARP snooping, and Port Security
  • Introduction to Network Admission Control and 802.1x

Data Loss Prevention

サイバーセキュリティは、マネージやコントロール、および重要な資産に対するリスクを最小限に留めることに尽きます。ほとんど全ての組織において、重要な資産はデータの形で保持されています。顧客リスト、リサーチ計画、知的財産、機密情報、マーケティングプランのいずれであろうと、データは組織のライフラインであり、確実に保護されていなければなりません。境界防御は確かに重要ですが、要塞を築くことばかりにとらわれるのでなく、データそのものの保護にも注力すべきです。なぜなら、ネットワークにはセキュリティホールが増える一方、データは携帯デバイスなどによって持ち運ばれることが多くなってきている、という現状を無視できないからです。

情報は、もはやサーバ上だけにあるのではありません。サーバならば、アクセスを制限すべくアクセスコントロールリストを設定することができ、情報が保護されていますが、強固な防壁の後ろで守られているこうした知的財産は、ノートPCに簡単にコピーできてしまいます（例：ポータブルサーバ）。そして、ファイアウォールもセキュリティデバイスもない、危険なネットワークに接続される可能性もあるのです（例：ホテル、空港、喫茶店）。機密情報への侵害が企業に与える影響ははかりしれないのですから、データがどこにあろうと保護できなければなりません。

堅牢な境界防御を構築することが第一ステップなのは言うまでもありませんが、重要なデータを失わないよう、保護およびコントロールすることも、強固な防御手法構築におけるもう1つの重要なステップです。先を見越したセキュリティ対策によって、重要な情報を確実に保護し、その露出も最小限にとどめることができるのです。

• Risk Management
  • Calculating and understanding risk across an organization
  • Building proper risk mitigation plans
  • Applying proactive risk management processes
  • Incorporating risk management into all business processes
  • Understanding insider threat
• Data Classification
  • Building a data classification program
  • Key aspects on deploying and implementing classification of critical information
  • Staged role out of classifying new and existing information
  • Managing and maintaining portable data classification
• Digital Rights Management
  • Understanding what digital rights are
  • Balancing digital rights with data classification
  • Managing access across the enterprise
  • Balancing functionality and security
• Data Loss Prevention (DLP)
  • Identifying requirements and goals for preventing data loss
  • Peeling through the hype of DLP
  • Identifying practical DLP solutions that work
  • Managing, evaluating, implementing, and deploying DLP

IP Packet Analysis

「防御は理想だが、検知は必須」。これは、セキュリティのプロにとって重要なモットーです。組織は常にできるだけ多くの攻撃を阻止することを目指していますが、それでもなおネットワークに忍び込む者がいます。攻撃が防御できなかった場合、セキュリティのプロは攻撃の兆候を察知して警告を発し、攻撃による深刻な被害が発生する前にその所在を突き止めます。パケット分析と侵入検知はタイミング良く攻撃を検知するための核となるテクニックです。攻撃を検知するだけでなく、今後、こうした攻撃を確実に阻止できるような対応をする必要があります。

攻撃全体が変化している影響で、その検知はますます困難になっています。最近の攻撃はステルス型が増え、発見しづらくなっているのが特徴です。スキルのあるアナリストとして通常のトラフィックと攻撃されたそれを見分けられるようになるには、トラフィック分析の中核となる原則を理解するしかありません。それでも新種の攻撃は常に生まれます。セキュリティのプロは、進化したゼロデイ攻撃を検知できるような規則を策定し、ネットワークが侵害される前に対処できるようにしなければなりません。

• Architecture Design and Preparing Filters
  • Building intrusion detection capability into a network
  • Understanding the components currently in place
• Detection Techniques and Measures
  • Understanding various types of traffic occurring on a network
  • Knowing how normal traffic works
  • Differentiating between attacks and normal users on a network
• Advanced IP Packet Analysis
  • Performing deep packet inspection and understanding usage of key fields
  • Event correlation and analysis
  • Analyzing an entire network instead of a single device
  • Building advanced snort rules
• Intrusion Detection Tools
  • Installing and using analysis software
  • Wireshark
  • Building custom filters

Vulnerability Analysis and Pen Testing

セキュリティは、組織の重要な資産に対するリスクについて、理解し、緩和し、コントロールすることに尽きます。そこで、組織としては脅威の全体像の推移を理解し、自社のネットワークが侵害される糸口となりそうな脆弱性と比較しなければなりません。しかしこの作業は決して容易ではないどころか、困難になる一方です。脅威はおそるべきスピードで進化を続けているし、組織は非常に複雑化しているからです。コースの4日目は、組織に対して実行可能な様々なテストについて学習し、効果的なペネトレーションテストを実際に行います。

基本的な脆弱性を見つけるのは簡単ですが、アタッカーによるシステム侵入の用に供するものでない場合は、あまり効果がありません。高度なペネトレーションテストにあたっては、ネットワーク上の様々なシステムやアプリケーションについて知り、どのようにアタッカーが侵害してくる可能性があるか、理解している必要があります。外部および内部ペネトレーションテスト、およびブラックボックステスト、グレイボックステスト、ホワイトボックステストの手法について学習します。

ペネトレーションテストは、組織が外部にさらしているものを識別できる重要なテストですが、組織全体のセキュリティを向上させるために、こうした脆弱性に対処する優先順位を決めるスキルも重要になります。

• Variety of Penetration Testing Methods
  • Frequency and use of vulnerability analysis, penetration testing, and security assessment
• Vulnerability Analysis
  • How to perform vulnerability analysis
  • Key areas to identify and ways to fix potential problems
• Key Tools and Techniques
  • Tools, techniques, and methods used in testing
• Basic Pen Testing
  • Methods and means of performing a pen test
  • Focus, requirements, and outputs of a successful test
  • Prioritizing and remediation of issues
• Advanced Pen Testing
  • Understanding and mapping to an organization infrastructure
  • Application testing and system analysis

Incident Response and Analysis

インターネットに接続している組織はみな、攻撃を受ける可能性があります。堅牢なネットワーク設計、適切な予防策、ペネトレーションテストによる脆弱性の発見といったことにどんなに心血を注いでいても、攻撃されることはあります。こうした事態に陥った場合に備えて、識別、分析、レスポンスこそが重要なのです。

セキュリティのプロは、インシデントレスポンス、事象の分析、早急な復旧作業について理解している必要があります。5日目は、インシデントレスポンスについて実績のある6段階のプロセス – 準備、識別、封じ込め、根絶、回復、教訓による手順を習得します。サイバーインシデントは火事のようなものです。インシデントの検知が早ければ早いほど対処が楽な上、被る損害も少なくて済みます。よって、迅速なレスポンスは侵入分析に次ぐキーポイントなのです。

インシデントレスポンスのもう1つのキーポイントは、フォレンジック分析および検知です。実習で、実際にフォレンジック調査を行い、攻撃の兆候を見つけます。ここで得られた情報はインシデントレスポンスのプロセスに吸収され、同じ攻撃が今後発生しても確実に阻止できるようになるでしょう。

• Incident Handling Process and Analysis
  • Preparing for an incident
  • Identifying and responding
  • Containing a problem to preserve mission resilience
  • Identify and eradicate the problem
  • Recovery system data, including restoring to normal operation
  • Lesson learned and follow-up reporting
• Forensics and Incident Response
  • Windows response skills
  • Windows forensics toolchest
  • Linux/Unix response and analysis
  • Linux/Unix tools and system analysis

Malware

セキュリティのプロが先を見越したセキュリティ手法をどんどん構築し続けるため、アタッカーの手法もそれに従って発展し続けています。アタッカーができるだけ多くのシステムを狙い、コントロールし、侵入するにあたって採用するのはマルウェアです。そこで、目下入手可能なマルウェアの種類やシステム悪用の手法について、これからのトレンドを理解することが重要です。こうした知識をもとにシステム上のマルウェアを分析、防御、検知する方法を習得し、組織への影響を最小限に留めることができるのです。

• Malware
  • Type of malware and corresponding behavior
  • Dealing with malware
  • Tying malware into intrusion analysis and incident response
• Microsoft Malware
  • Using Microsoft Windows basic built-in CLI tools
  • Using Microsoft Windows Advanced built-in CLI tools
  • Using Microsoft Windows built-in GUI tools
• External Tools and Anaylsis
  • Using external tools to fight BHO
  • Fighting Rootkits
  • Using Network-based tools to identify malware traces
  • Using online resources to get help