東芝ビジネスエキスパート

芝大門塾トップ > コース詳細

実践!デジタル・フォレンジックコース(3) タイムライン&アーティファクト編~タイムラインによるアーティファクト調査手法~

コース詳細

コースコード LANW002
旧コースコード
カテゴリ ネットワーク・セキュリティ
価格(税込) 330,000円
期間 2日  10:00~17:30
日程 標準学習時間 お問い合わせください。
目的
概要 本コースは、侵害調査編の続編として、技術的に一歩進めた内容を取り扱い、より正確な調査結果を目指します。セキュリティインシデントの原因や影響範囲など、インシデントの全容を解明するためには、OSのアーティファクトに関する知識・技術と共に、ファイルシステムに関する知識も欠かせません。このコースでは、Windows環境で利用される NTFS/FAT ファイルシステムについて、基本的な構造、$MFTファイルの役割、FILEレコードの構造や“属性”、削除ファイル復元の仕組みについて、原理から目視レベルでの確認方法などを学びます。また、ファイルシステムが持つタイムスタンプ情報だけでなく、各種アーティファクトが持つタイムスタンプ情報を利用し、全体を俯瞰する解析技術としてタイムライン解析を扱います。単に痕跡を発見するのではなく、それらの痕跡からどのような結論を導き出せば良いのか、ディスカッションベースの演習で学びます。
内容 1.タイムスタンプ概要
・タイムスタンプ(MAC Time)
・FAT/NTFS、レジストリキーのタイムスタンプ
・アーティファクト(遺物・痕跡)が持つタイムスタンプ

2.NTFSファイルシステム基礎
・MFTファイル、FILEレコード構造
・属性、属性リスト
・レジデント、ノン・レジデント、DataRun
・MFTレコードとスラック

3.NTFSタイムスタンプ
・タイムスタンプを管理している属性
・ツールを利用したタイムスタンプの確認
・ファイル名属性のタイムスタンプ
・タイムスタンプの挙動、タイムスタンプの改ざん
・インデックス属性、その他

4.NTFS削除ファイル
・ファイルレコード割り当て状況のフラグ
・MFTレコードの上書き
・ファイルとフォルダの親子関係、親が不明な削除ファイル
・MFTレコードと削除ファイル
・ジャーナルファイルの利用

5.FAT
・exFATファイルシステム
・FATディレクトリエントリ
・FATタイムスタンプ構造
・FATファイルシステムにおける削除ファイルの取り扱い
・exFATディレクトリエントリ
・exFATタイムスタンプ構造

6.タイムライン(アーティファクト)
6-①PlasoベースのLog2timelineを利用したタイムライン作成
6-②タイムライン:プログラム実行・レジストリ
・レジストリファイル
・レジストリ内のタイムスタンプ情報
・ファイルシステム タイムラインとのマージ
6-③タイムライン:イベントログ・LNKファイル
・イベントログのタイムライン作成
・APTケースにおけるイベントID確認項目
・ショートカットファイル(LNK)のタイムライン作成
・LNKファイル内のデータ構造(タイムスタンプ)
6-④タイムライン:Web履歴
・IEのブラウザ履歴

7.標的型攻撃(APT)解析演習
・標的型攻撃(APT)の被害を受けた演習用ディスクイメージの解析
・マルウェア感染や被害状況の確認方法
到達目標 ・Windows環境で利用されるファイルシステム(NTFS・FAT)の基本的な内部構造やタイムスタンプ、削除ファイルの取り扱いについて理解できるようになる
・Windows環境の代表的な痕跡(アーティファクト)から、タイムラインを生成し、時系列で状況を追跡できるようになる・痕跡(アーティファクト)の基本的な役割や利用方法について理解できるようになる
前提条件 ・実践!デジタル・フォレンジックコース(2) 侵害調査編 の受講または同等の知識
・Windows内部に関する基本的な知識とコマンドラインを利用した操作
・マルウェアの基本的な動作に関する知識
・標的型攻撃で利用される一般的な侵害手法に関する知識
対象者 ・CSIRT要員(技術系)
形式 マシン実習あり
PC動作環境
定員
会場
主催 株式会社ラック
キャンセル
ポリシー
ご注文後にキャンセルまたは日程変更される場合は、以下の条件に従ってキャンセル料をご請求させていただきます。
 ・研修開始日の16日前:100%
備考 旧コース名:実践!デジタル・フォレンジック中級コース タイムライン&アーティファクト編

お問い合わせ

芝大門塾 事務局

TEL:03-5408-1509 FAX:03-5408-0689
Email:shibajuku@hrd.toshiba.co.jp
〒105-0011 東京都港区芝公園 1-8-4 NREG芝公園ビル 東芝ビジネスエキスパート(株)
(受付時間 9:00~12:00、13:00~17:00)
土曜日・日曜日・祝日・年末年始ほか、当社休業日を除く

ページトップへ