Cyber Defense Lab: SOC Analyst — スマートフォンでリアルタイムのアラートに対応しながら、ブルーチームのインシデント対応を学べます

スマートフォンで学ぶなら、重要なのは自分で判断しなければならないかどうかです。封じ込めについて読むだけでは直感は身につきません。アラートを渡されてどう行動するかを問われることで、初めて身につきます。Cyber Defense Labはそのように設計されています — 各ラボで実際のアラートとテレメトリを確認し、自分の言葉で防御行動を入力すると、エンジンが採点して封じ込めスコアを高めます。iOSとAndroidで無料で利用でき、事前の経験は必要ありません。

セキュリティオペレーションセンターのアナリストは、セキュリティツールが生成するアラートをトリアージします。つまり、アラートを読み、ネットワークやエンドポイントから周辺のログを取得し、それがノイズなのか本物の侵入なのかを判断し、実際の脅威であればエスカレーションまたは封じ込めを行います。シフト中の大半は、重要な少数の事象にすばやく対応できるよう、重要でないものを見極めることに費やされます。判断力は理論よりも、繰り返し実践することで身につきます。

SIEMは、ファイアウォール、エンドポイント、メールゲートウェイ、クラウドサービスなど、組織全体のログを1か所に集め、イベントを相関付けられるようにします。ログインの失敗が1件だけなら何でもありません。しかし、1つのネットワークから何千件も失敗した後に1件だけ成功していれば、それは攻撃です。重要なのは製品を操作することではなく、相関付けられたテレメトリを読み、普通に見えるイベントのどの組み合わせが1つの脅威を示しているのかを理解することです。Cyber Defense Labでは、この相関分析の手順を直接トレーニングできます。

インシデント対応はライフサイクルに沿って進みます。まず検知では、本当に何かが起きていることを確認します。次に封じ込めでは、ホストの隔離、アドレスのブロック、セッションの切断などによって拡散を止めます。根絶では、攻撃者の足がかり、マルウェア、永続化の仕組みを削除します。そして復旧では、システムを復元し、侵入者がいなくなったことを確認するため監視します。実際の現場では、完全な診断より被害の拡大防止が優先されるため、通常は封じ込めが先に行われます。

アラート対応は受動的です。ツールがアラートを発し、あなたが調査します。一方、脅威ハンティングはその逆です。ツールが何かを見逃していると仮定し、マルウェア、ラテラルムーブメント、あるいは何のアラートも発生させない静かな侵入の証拠を求めてテレメトリを調べます。通知ではなく仮説を起点に行い、ひそかな侵害が情報漏えいへ発展する前に発見するための手法です。

スマートフォンで判断力を学ぶことはできます。そして、それこそが多くの人に不足している部分です。そっくりな送信者ドメインを見抜くこと、フォレンジックのために情報を取得する前にホストを隔離すべきだと知ること、封じ込めの手順を正しい順番に並べること — これらにキーボードや仮想マシンは必要ありません。一方、スマートフォンでは実際のツールを操作する時間は得られません。そのため、モバイルでの練習は、自宅ラボや初めての仕事をより速く進めるための反復練習だと考えてください。

いいえ。これは防御トレーニングです。ラボでは架空の環境内でシミュレーションされたインシデントに対応するブルーチームの立場になり、実際に機能する攻撃ツールを作成したり、現実のシステムを標的にしたりすることはありません。攻撃者の行動 — マルウェアがどのように拡散し永続化するか、フィッシングやサプライチェーン侵害がどのように機能するか — を扱うのは、防御側がそれを理解していなければ封じ込められないからです。

シナリオは8種類のインシデントを扱います。マルウェア、フィッシング、侵入、ランサムウェア、DDoS、内部脅威、データ侵害、サプライチェーン侵害です。例として、2人の従業員がすでに開いてしまった偽造請求書キャンペーン、セール中にチェックアウトAPIへ大量のトラフィックを送り込むボットネット、プライベートリポジトリを複製している退職予定のエンジニア、6時間前に本番環境へ出荷されたバックドア付きビルド依存関係などがあります。それぞれのラボは、メールゲートウェイ、EDR、WAF、DLPなどのツールから取得したブリーフィングと未加工のテレメトリで始まります。

はい。Cyber Defense LabはApp StoreとGoogle Playから無料でダウンロードできます。Educationカテゴリに掲載され、コンテンツレーティングは4+です。利用規約とプライバシーポリシーへのリンクは、ストア掲載ページおよびcoddykit.comで公開されています。Google Playではアプリ名がCyber Defense Lab: SOC Analyst、App Storeでの名前はCyber Defense Labです。

事前の経験は必要ありません。アプリは、ログ行の読み方やアラートのトリアージ方法といったSOCの基礎から始まり、自分のペースで高度な脅威ハンティングや完全なインシデント対応まで進められます。すでにITやネットワークの仕事をしている場合は、先に進んで始めることもできます。ラボで行き詰まったときは、ヒントを表示したり、完全な解答を確認したりできるため、先に進めなくなることはありません。