Upgrade to Pro — share decks privately, control downloads, hide ads and more …

「Blue Team Labs Online」のはじめかた 痕跡分析で光る"かっこよさ"

「Blue Team Labs Online」のはじめかた 痕跡分析で光る"かっこよさ"

第52回 総関西サイバーセキュリティLT大会
題目:「Blue Team Labs Online」のはじめかた 痕跡分析で光る"かっこよさ"
日時:2025年11月23日(日)
URL:https://sec-kansai.connpass.com/event/370268/

Avatar for Noriaki Hayashi

Noriaki Hayashi

November 23, 2025
Tweet

More Decks by Noriaki Hayashi

Other Decks in Technology

Transcript

  1. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi 自己紹介 林 憲明 情報処理安全確保⽀援⼠ 第008235号

    ⾼知⼯業⾼等専⾨学校 実務家教員 若年層はϨουνʔϜに強い憧れ ϒϧʔνʔϜにはあまり関⼼を持たない 障壁を取り除き「優秀な実務家を安定的 に輩出すること」が私のライフワーク 現場で必要なのは状況に応じて 役割を変化できるヒーロー σΟϑΣϯμʔͷඞཁੑ 実際に手を動かし、痕跡をたどる経験の 獲得は困難であり、後押しが求められる
  2. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi あなたの技術を「価値」に変える倫理観 • 社会を守る力として使う 技術は困っている⼈を助け、安全を守るためにある •

    影響力を自覚する 技術の進歩と社会的責任を常に考え、法の範囲内で能⼒を発揮する • 「正義」は免罪符ではない たとえ善意でも、許可無きハッキングは処罰対象となり、社会的信⽤を失う • 建設的な貢献 他者と対話し、知識を共有することで、より良い未来を作る第⼀歩になる
  3. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi 本日の進行に関する注意 • BTLO「Foxy」はActiveな課題です 攻略⽅法の直接的な外部公開はNGです。インターネットへの投稿はご配慮を。 •

    会期中の質問はslidoで盛り上げましょう 参加者同⼠でワチャワチャ楽しみたいです。 • 会の感想はブログ、Qiita、Xなどへ投稿しましょう 写真や画⾯キャプチャなどの投稿も⼤歓迎!参加者の写りこみには配慮をお願 いいたします。林憲明はフリー素材
  4. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi タイムスケジュール(目安) 13:00 – 14:30(90分間):ハンズオン前半 14:30

    – 14:45(15分間):休憩 14:45 – 16:15(90分間):ハンズオン後半 16:15 – 17:00(45分間):Q&A 17:00 – :片付け 懇親会
  5. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi 本日のゴール設定 • まずは、BTLOへログイン 本番環境に影響を与えない。失敗は学びの機会! •

    Activeなインベスティゲーションへの挑戦 ポイント獲得を⽬指しましょう。 • ログ解析(chap.2 & 4)の基礎を習得 Linux CUI(grep/awk/find/xargs)のほか、 Gnumeric(表計算ソフト)も使⽤。
  6. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi 6つのシナリオがあなたをディフェンダーに! CASE  テ キ

    ス ト 処 理 コ マ ン ド で 挑 む ロ グ か ら 侵 ⼊ の ⼿ が か り を 探 る ⽅ 法 CASE  通 信 の 断 片 PCAP の 謎 を 解 く デ ジ タ ル ・ ア ナ ト ミ ス ト た ち CASE  侵 入 の 瞬 間 を 追 え ア ク セ ス ロ グ か ら 攻 撃 の 流 れ を 可 視 化 す る CASE  暗 号 解 読 に 光 を メ モ リ に 投 獄 さ れ た ラ ン サ ム ウ U ア へ の 尋 問 CASE  亡 霊 を 暴 く メ モ リ の 迷 宮 に 潜 む マ ル ウ U ア と の 死 闘 CASE  断 片 か ら 全 貌 へ デ a ス ク フ c レ ン ジ e ク に よ る ア ー テ a フ i ク ト 解 析 の 挑 戦 活躍する⾃分の姿、カッコいい未来像 ֶ श ऀ Λ ࣄ ݅ ͷ ứ ओ ਓ ެ Ừ ͱ ͠ ͯ Ҿ ͖ ࠐ Ή ೉ қ ౓ ͸ &BTZ ͔ Β ͸ ͡ · Γ ࠷ ޙ ͸ .FEJVN
  7. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi Foxy シナリオを確認 1/2 インテリジェンスアナリストとして、 あなたはSOCアナリストの調査を⽀

    援し、追加の⽂脈や情報を提供する 役割を担います。 CSVファイルを開く際は、Gnumeric の使⽤を推奨します。あるいは、 exportsフォルダー内でLinuxのCLI コマンドを利⽤してください。
  8. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi Foxy シナリオを確認 2/2 注意 ログ解析とOSINT問題が混在

    • 問題はQ1からQ16の出題 • ログ解析はQ1, 2, 6, 11, 12, 13, 14, 15の8問 • OSINT問題はQ3, 4, 5, 7, 8, 9, 10, 16の8問 • 今⽇はログ解析問題の攻略を⽬指 しましょう!
  9. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi ヒント0. まずはいつもの「メタデータ」を確認 $ cd Desktop/ThreatFox\

    Exports/ $ ls $ file full_urls.csv $ head full_urls.csv • 「ThreatFox Exports」フォルダーにはどんなファイルが保管されて いますか。 • 保管されているそれぞれのメタデータ(ファイル形式)を確認 • ファイルの先頭(head)・末尾(tail)からログの書式を確認
  10. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi ヒント1. Q1は検索パターンを検討する ~/Desktop/ThreatFox Exports$ cat

    -n ファイル名| grep 検索パターン • cat ‒nオプションを指定し、⾏番号を表⽰ • grepコマンドで指定したパターンを含む⾏を表⽰ ※ここで検索すべきパターンは3台の内部ホストが接続したURL
  11. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi ヒント2(1/2). Q2はすべてのCSVが調査対象 • 複数のCSVファイルから特定のパターンを含む⾏数を検索するには どうすればよいか(複数回の実⾏?)

    • 得られた結果を加算するにはどうすればよいか(電卓の使⽤?) • grepコマンドのオプションを確認(-c: ⼀致する回数のみ表⽰, -E: 検索に拡張正規表現をしよう, -v: パターンに位置しない⾏を表⽰) • xargs(エックス アーグス)コマンドで標準⼊⼒から読み込んだ⽂ 字列を、後続コマンドの引数として渡すことができる • ワンライナーでの解答を⽬指そう! • awkコマンドを使えば計算ができる!(2列⽬をすべて加算したい) ※| awk -F: '{sum += $2} END {print sum}'
  12. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi ヒント2(2/2). Q2はすべてのCSVが調査対象 $ pwd $

    find . -type f -name ʻ*.csvʼ -print0 | xargs -0 grep -c 検索パターン コマンドは常に” ThreatFox Exports”フォルダー内で実⾏ $ grep -c 検索パターン *.csv | awk -F: '{sum += $2} END {print sum}'
  13. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi ヒント14(2/2). CUI解法を教えてもらいました $ awk -F

    ʻ, ʼ ʻ $10 ~ /100/ʼ ファイル名 | wc -l •「カンマ+半⾓スペース」で1列を区切る、形式の CSV を 想定しています。 • 「10列⽬の⽂字列が 100 を含む⾏だけ出⼒する」の表現 ・$10 は「10番⽬の列」を指定 ・~ は「正規表現にマッチするか」の演算⼦ ・/100/ は「⽂字列 100 を含むか」という正規表現
  14. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi chap. 6 & 7の類似問題に挑戦 メモリの迷宮に潜むマルウェアとの死闘

    BlackEnergy Lab ある多国籍企業がサイバー攻撃を受け、機密 データが盗まれてしまった。この攻撃には、 これまで⾒たことのない BlackEnergy v2 マ ルウェアの新しい亜種が使われていた。現在、 セキュリティチームは感染したマシンのメモ リダンプを⼊⼿しており、攻撃の範囲や影響 を調べるために、SOCアナリストとしての あなたの専⾨知識を求めている。 ディスクのアーティファクト解析の挑戦 Hunter Lab ディスクイメージからフォレンジック アーティファクトを分析し、不正な ポートスキャンを確認するとともに、 違法アプリケーションをインストール したユーザーの意図を評価せよ。
  15. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け ©2025 Noriaki Hayashi BTL1取得に向けたインベスティゲーション • Challenges, Phishing Analysis

    1 & 2 フィッシングキャンペーンについて情報を収集し、分析を⾏う • Splunk Spilled Buckert, Splunk IT, Drilldown • Digital Forensics Sukana / Sticky Situation • Incident Response Attacks / SAM • Wireshark Piggy / Vortex / Winter Stew • PowerShell Deep Blue / Indicators
  16. 実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け 『実践サイバーセキュリティ入門講座 現場に残された痕跡からハッカーの攻撃を暴け』 Amazon 最新ランキング 位獲得 1 OS /

    Linux / セキュリティー管理 / 暗号理論 4部門 8月 30日(土)販売開始 ¥3,080 税込 376P / ISBN 978-4815634254 Kindle版あります。 SBクリエイティブ株式会社