サイバーセキュリティ書籍セレクション: 防御とインシデント対応

全9回の第6回。ブルーチームの回だ。監視、検知、インシデント調査、そして侵害を生き延びるシステムの作り方を扱う。

攻撃側の本は穴をひとつ見つける方法を教える。こちらの本は、穴がすでに誰かに見つけられている状況で仕事をする方法を教える。

ネットワーク監視の基礎となる一冊。主張は明快で、予防はいずれ破られるのだから可視性を作れ、というものだ。

テーマ: センサーの配置とトラフィックの収集、フルパケットキャプチャとメタデータの比較、Security Onion、不審な活動の分析、検知からエスカレーションまでの流れ。

Wiresharkとパケット単位でのトラフィックの読み方。セキュリティでも本番環境のデバッグでも必要になる技能。

テーマ: さまざまなトポロジでのトラフィック取得、フィルタ、TCP・DNS・HTTPの解析、遅いネットワークの切り分け、スキャンやARP攻撃、悪意あるトラフィックの見分け方。

ベイトリックのテーマの続き。アナリストの作業プロセスと道具に重心が置かれている。

テーマ: 収集・検知・分析を3つの別々の機能として捉える、SnortとBroのルール、侵害の指標、脅威インテリジェンス、監視センターの運用指標。

2000年代の大型侵害を調査してきたチームによる対応の方法論。

テーマ: インシデントへの備え、証拠を壊さずに集める、WindowsとLinuxのフォレンジック、タイムライン分析、攻撃者の痕跡の排除、報告と法的な論点。

脅威インテリジェンスを対応に結び付ける方法。そうしないと、インテリジェンスは指標リストの購読に成り下がる。

テーマ: インテリジェンスのサイクル、キルチェーンとダイヤモンドのモデル、アトリビューションとその限界、脅威データの収集と加工、組織内部への結果の展開。

当番のアナリスト向けの携帯用ハンドブック。コマンド、チェックリスト、手順の並びが詰まっている。

テーマ: インシデント発生直後の初動、アーティファクトの取得、素早く確認するためのWindowsとLinuxのコマンド、ログの読み解き、記録用のテンプレート。

セキュリティと信頼性を一緒に設計するシステムを作ってきたGoogleの経験。出版社が全文を無償公開している。

テーマ: 障害と侵害を前提にした設計、最小権限と変更管理、コードのサプライチェーンの安全、大規模インフラでの対応、文化とプロセスの組み立て。

次回: 攻撃ベクトルとしての人間。

シリーズ全体:

1. 基礎
2. 攻撃側のセキュリティ
3. リバースエンジニアリングとマルウェア
4. 暗号
5. アプリケーションセキュリティ
6. 防御とインシデント対応
7. 攻撃ベクトルとしての人間
8. ノンフィクションの調査報道
9. フィクション