CDIR Learning Community Edition v1.1.0

CDIR Learning（CDIR-L）について

CDIR Learningは、インシデント発生時の初動対応から、デジタルフォレンジックの基礎知識、ファストフォレンジックによる具体的な調査方法、脅威インテリジェンスを活用した攻撃分析、再発抑止を目的とした脅威分析まで、防御的セキュリティオペレーション全般を学習するコンテンツです。組織のネットワークが侵害されたシナリオに基づき、インシデントレスポンスにおける一連の業務を体験します。インシデントハンドラやSOCのアナリストはもちろん、フォレンジックアナリストを目指す方にとって有用な知識を獲得することができます。

学習コンテンツの構成

学習コンテンツは19章のトピックに分かれており、各章は次のような構成になっています。

  • 学習テキスト

    各章に、2～3節の学習テキストがあります。学習した内容は、Quizで学習内容の要点を確認し、さらにHands-onで実践的な調査手法を実習します。

    • Quiz
      • 各節ごとに4～6つのQuizがあり、正解すると学習スコアに1ポイント加算されます。
    • Hands-on
      • 4～18章の各節ごとに1つのHands-Onがあり、演習用データを使用して、学習テキストで紹介した調査手法を実習します。またHands-onの末尾には問題があり、正解すると学習スコアに2ポイント加算されます。

  • Mission

    • 4～18章の各章末にMission（演習問題）があり、各章で学習した調査手法にもとづき、CTF形式で実践的な調査を行います。正解すると学習スコアに3ポイント加算されます。
    • 19章では、実際のインシデント事案を想定し、実践的なフォレンジック調査の総合演習を行います。

各学習コンテンツの紹介

各章の記号は、以下の内容にフォーカスしたものであることを表しています。

IR：インシデントレスポンス、DF：デジタルフォレンジック、FF：ファストフォレンジック

概説編

実践編

  • 4章 インシデントの検知と初期対応 IR
    • 学習内容 各種監視装置によるサイバー攻撃の防御方法、検知イベントのトリアージ方法
    • Hands-on/Mission トリアージのためのOSINT調査手法
  • 5章 通信ログ分析 IR DF FF
    • 学習内容 プロキシサーバのログ分析による侵害機器の特定方法、攻撃による影響範囲の調査方法
    • Hands-on/Mission エディタやシェルコマンドによるプロキシログのフィルタリング手法
  • 6章 侵害機器の初動調査 IR DF FF
    • 学習内容 ログから特定した侵害機器の隔離手順と揮発性情報の調査方法
    • Hands-on/Mission 通信状態の調査と不審な通信プロセスの特定手法
  • 7章 証拠保全Ⅰ IR DF FF
    • 学習内容 侵害機器の証拠保全に関する基礎知識と実務
    • Hands-on/Mission ディスクおよびメモリから取得するアーティファクトの実例とメモリフォレンジック手法
  • 8章 証拠保全Ⅱ IR DF FF
    • 学習内容 ファストフォレンジク／フルフォレンジックにおける侵害機器の保全方法
    • Hands-on/Mission ファストフォレンジック用ツール（CDIR-C）による保全手順、フルフォレンジック用に保全するディスクイメージの実際
  • 9章 マルウェア検体調査 DF
    • 学習内容 マルウェア調査方法の種類と表層解析の実践手法
    • Hands-on/Mission 表層解析によるハッシュ値算出、文字列やメタデータの抽出
  • 10章 マルウェア関連情報収集 DF
    • 学習内容 マルウェア表層解析を端緒とした情報収集とサンドボックス解析
    • Hands-on/Mission VirusTotalによる情報収集、公開サンドボックスによる簡易な動的解析
  • 11章 永続化されたマルウェアの調査 DF FF
    • 学習内容 観測されるマルウェアの永続化手法、レジストリ（Runキー）を解析対象アーティファクトとした永続化痕跡の調査手法
    • Hands-on/Mission Runキーの登録方法と動作検証、レジストリ（Runキー）のファストフォレンジック調査手法
  • 12章 マルウェアの実行履歴調査 DF FF
    • 学習内容 不審なファイルの実行履歴、プリフェッチを解析対象アーティファクトとした実行履歴の調査手法
    • Hands-on/Mission プリフェッチファイルの構造と参照方法、プリフェッチのファストフォレンジック調査手法
  • 13章 不審なイベント調査 DF FF
    • 学習内容 マルウェアや侵入者による不審な挙動の履歴、イベントログを解析対象アーティファクトとした不審なイベントの調査手法
    • Hands-on/Mission イベントログ（EVTXファイル）の構造と参照方法、イベントログのファストフォレンジック調査手法
  • 14章 攻撃痕跡の調査 DF FF
    • 学習内容 不正なPowerShellスクリプトによる攻撃の痕跡調査方法、不審な実行ファイルの痕跡調査方法
    • Hands-on/Mission イベントログに記録された不正なPowerShellスクリプト実行痕跡の調査手法、Amcache / Shimcache / WMIアーティファクトから不審な実行ファイルの痕跡を抽出するファストフォレンジック調査手法
  • 15章 アクティビティの調査 DF FF
    • 学習内容 Webアクセス履歴や最近使ったファイルの調査方法（ユーザー・アクティビティ）、プロセス別ネットワーク利用履歴の調査方法（ネットワーク・アクティビティ）
    • Hands-on/Mission Webアクセス履歴（Webヒストリー、キャッシュファイル）のファストフォレンジック調査手法、ネットワーク利用履歴（SRUM）のファストフォレンジック調査手法
  • 16章 ファイルシステムの調査 DF FF
    • 学習内容 NTFSファイルシステムのメカニズム、MFT（マスターファイルテーブル）の構造とファイルシステムの解析方法
    • Hands-on/Mission MFTに着目した削除済みファイルの復元手法、MFTのパースと不審なファイルの調査手法
  • 17章 ファイル操作履歴の調査 DF FF
    • 学習内容 USNジャーナル（ファイル操作履歴）の構造と解析方法
    • Hands-on/Mission USNジャーナルのファストフォレンジック手法、攻撃のタイムライン調査手法
  • 18章 MITRE ATT&CKによる脅威分析 IR
    • 学習内容 攻撃者の戦術（TTPs）に着目した脅威分析、MITRE ATT&CKの概要とマトリックス分析方法
    • Hands-on/Mission MITRE ATT&CKによる脅威情報と緩和策／検知方法の調査、 ATT&CK Matrix（ ATT&CK Navigator）による脅威情報のマッピング分析
  • 19章 ファストフォレンジック総合演習 IR DF FF
    • Mission 感染したマルウェアの特定、タイムライン分析、インシデント発生原因の分析、脅威ハンティング、再発防止策の分析
  • 各問の解答と解説

CDIR Learning Community Edition (CDIR-L CE版) について

CDIR-L CE版 は、インシデント調査ツールの CDIR-C と CDIR-A を活用していただくために、CDIR-Lのコンテンツを一部抜粋した無料バージョンです。

CE版の学習コンテンツは、CDIR-CとCDIR-Aによるファストフォレンジックについて、証拠保全から各アーティファクトの解析までを順を追って解説する構成となっています。

なおCE版には、Hands-OnやMissionの演習データおよび解答・解説が付属しません。ファストフォレンジックおよびCDIR-CとCDIR-Aの解説書として、またCDIR-L（有料バージョン）の体験版としてご活用下さい。

ご利用いただける学習コンテンツは次のとおりです。

  • 全章（1～19章）の「はじめに」（各章の概要解説）
  • 8章 証拠保全Ⅱ（CDIR-C：cdir-collector.exe）
    • 1節がファストフォレンジック、2節およびMissionはフルフォレンジックに関する内容
  • 11章 永続化されたマルウェアの調査（CDIR-A：regruns.exe）
    • 永続化の概要、レジストリからRUNキーの調査
  • 12章 マルウェアの実行履歴調査（CDIR-A：prefetch.exe）
    • プリフェッチの概要、プリフェッチファイルの調査
  • 13章 不審なイベントの調査（CDIR-A：LPSLibrary_CDI.XML ※イベントログのカスタムクエリ）
    • イベントログの概要、LPSとカスタムクエリによるイベントログの調査
  • 14章 攻撃痕跡の調査（CDIR-A：shimcache.exe | amcache.exe | PyWMIPersistenceFinder.exe）
    • PowerShellによる攻撃と実行痕跡、Shimcache・Amcache・WMIの調査
  • 15章 アクティビティの調査（CDIR-A：BrowsingHistoryView.exe | NetworkUsageView.exe）
    • Web履歴の調査、SRUMから通信履歴の調査
  • 16章 ファイルシステムの調査（CDIR-A：mft.exe）
    • NTFSの概要、MFTの調査
  • 17章 ファイル操作履歴の調査（CDIR-A：usnj.exe）
    • USNジャーナルの概要と調査

About

CDIR Learning Community Edition Ver1.1.0

Copyright© 2025 CyberDefense Institute, inc. ALL Rights Reserved

results matching ""

    No results matching ""