SOC-IRとOSCP / SOC-IR and OSCP

2023/02/10に開催されたOSCP勉強会のLT資料（軽量版）です。
https://off-sec-lab.connpass.com/event/270480/

Transcript

1. SOC/IRとOSCP 2023/02/10 OSCP勉強会 きとう
2. 自己紹介 なまえ • きとう、てきとう、tkito • Twitter: @tkito しゅみ • ゲームしたり海に潜ったり徳を積んだり 2 おしごと • 企業でSOCの中の人とかIRとか SOC/IRとOSCP
3. SOC/IRのお仕事 ◆SOC = Security Operation Center SOC/IRとOSCP 3 ◆IR = Incident Response • 起こってしまったインシデントに対応する • 被害拡大防止、封じ込め、システムの復旧 • 関連部署との連携 • 対応まとめ、報告 • セキュリティ機器などのログやアラートを監視して 何か悪いことが起きてないか分析 • リアルタイムに分析、発見 • 緊急度の判定、報告 • 侵害端末のフォレンジック調査 区切りは 組織によって異なる
4. SOC/IRのお仕事 参考：ISOG-J「セキュリティ対応組織の教科書」 • https://isog-j.org/output/2017/Textbook_soc-csirt_v2.html SOC/IRとOSCP 4
5. SOC/IRのお仕事 参考：ISOG-J「セキュリティ対応組織の教科書」 • 私がやっていること SOC/IRとOSCP 5
6. Why Penetration Testing? なんでSOCの人がPentestやるのん？ SOC/IRとOSCP 6 趣味 だと話が終わってしまうので…
7. Why Penetration Testing? 守るためには攻めてくる相手の手口を知ることが大事 • どういう経路でやってくるのか？ • どんなことを仕掛けてくるのか？ • それをやられるとどうなるのか？ SOC/IRとOSCP 7 • 経路がわかれば防御を強化するポイントを考えられる！ • 何をするかわかれば検知や遮断の方法を考えられる！ • どうなるかわかれば被害が発生してないか確認できる！
8. Why OSCP? 本とかWebでよくない？ 実践して学ぶのが一番 SOC/IRとOSCP 8 荀子 B.C. 313? ~ B.C. 238?、中国 不聞不若聞之 聞かないことは聞くことに及ばない 聞之不若見之 聞くことは見ることに及ばない 見之不若知之 見ることは知る（理解する）ことに及ばない 知之不若行之 知ることは行う（実践する）ことに及ばない
9. Try Harder! 歌まである • https://www.offensive-security.com/offsec/say-try-harder/ SOC/IRとOSCP 9
10. まとめ • SOC/IRの人が攻撃側の手法を学ぶのも 意味がある • やるなら実践するのが一番 • Try Harder! • 攻撃側と防御側のスキルを身に着けて スーパーセキュリティエンジニアになろう！ SOC/IRとOSCP 10
11. おしまい きとう @tkito 11