テスト・セキュリティのスキル

ディスクイメージからファイルの時刻、イベントログ、ブラウザー履歴などを抽出し、Plasoで統一した時系列にまとめ、Timesketchで侵害の経緯を調べるスキル。

• 端末侵害の経緯を再構成したいとき
• ログとファイル記録を突き合わせたいとき
• 時刻改ざんやログ消去の調査

許可された攻撃演習で、公開する中継サーバーと内部の指令サーバーを分離し、通信条件に合う要求だけを転送するC2中継基盤の構築と検証を支援するスキル。

• 演習用の公開基盤と指令サーバーの分離
• 通信プロファイルに沿った要求の選別
• 中継サーバーへのTLS証明書設定

セキュリティ事故の影響端末、隔離状況、侵害の痕跡、対応経過をダッシュボードにまとめ、対応チームの状況共有や経営層への報告を支援するスキルです。

• 進行中のセキュリティ事故の対応連携
• 影響端末と隔離状況を追跡したいとき
• 事故後に対応経過を振り返りたいとき

脆弱性の発見から修正までの日数を可視化し、深刻度別の対応期限と照合するスキル。期限超過の通知や例外管理、遵守率のレポート作成まで支援します。

• 脆弱性の修正期限を決めたいとき
• 期限超過の脆弱性を可視化したいとき
• 督促と管理者への通知を自動化したいとき

脅威情報や監視の抜けから検証可能な調査仮説を立て、端末監視・ログ分析の検索で確かめながら、証拠やリスク、推奨対応を共通形式の報告に整理します。

• 脅威情報を基に調査を計画したいとき
• ATT&CKの監視不足の調査
• 異常な活動から立てた仮説の検証

Microsoft Entra IDのユーザーや権限、設定を収集し、認証トークンの取得・交換を検証します。許可された侵入テストで、認証制御の確認に使えます。

• テナント内のユーザーや権限の把握
• 条件付きアクセスの設定確認
• トークン交換とデバイス認証の検証

脅威情報レポートから攻撃者の行動を抽出し、MITRE ATT&CKの手法に対応付けて、検索・共有できる攻撃パターン集と検知ルールのひな型を作ります。

• 脅威情報レポートから攻撃行動を整理
• 目的・手法・攻撃者別のパターン集作成
• 記録された行動から検知ルールのひな型作成

ランサムウェアの暗号方式や鍵の生成・保存方法を解析し、実装上の弱点や既存の復号ツールを調べて、復号の可否とファイル復旧の選択肢を整理するスキル。

• 暗号化ファイルの復号可否を調べたいとき
• 暗号処理と鍵の管理方法の解析
• メモリダンプからの鍵回収の調査

WindowsのPowerShellログから分割されたスクリプトを復元し、難読化や不審なダウンロード、検査回避の兆候を調べ、リスク付きの報告書にまとめるスキル。

• 不審なPowerShell実行の調査
• 分割されたスクリプトを復元したいとき
• 符号化コマンドや不審な通信の確認

Terraformのコードや変更計画を検査し、過剰な権限、意図しない公開、暗号化の不足を洗い出します。独自ルールの作成や、デプロイ前の自動チェック導入も支援します。

• 配備前のTerraform構成レビュー
• CI/CDに安全性チェックを追加
• 組織独自の構成ルールを適用

Microsoft Entra IDの外部公開情報やAPIへのアクセス範囲、認証連携の弱点をAADInternalsで検証し、証拠と改善策をまとめるスキルです。

• Entra IDの外部公開情報の棚卸し
• トークンによるAPIアクセス範囲の確認
• AD FSの署名証明書保護の検証

Windowsに残るアプリやドライバーの記録を解析し、不審なファイルや削除済みの実行ファイルの痕跡を調べ、ハッシュ照合と時系列整理でインシデント調査を支援します。

• 削除済み実行ファイルの痕跡調査
• 事件発生期間中の導入ソフト確認
• ファイルハッシュのマルウェア照合

文書検索を組み合わせるRAGの検索層を対象に、ベクトルからの原文推測や利用組織間の情報漏えい、検索結果への不正な文書混入を検証し、対策を整理するスキル。

• ベクトルからの原文推測リスクの評価
• 利用組織間のデータ分離の確認
• テスト環境での検索結果操作の検証

既知の不審なドメインやIPを起点に、DNS履歴や登録情報から関連する攻撃基盤を探索。関係図を作り、既知の命名パターンに合う新たなドメインを監視します。

• 既知の不審IPから関連ドメイン探索
• 攻撃者のC2基盤の関係図作成
• 既知の命名パターンに合うドメイン監視

OutlookのPST・OSTファイルから本文、ヘッダー、添付ファイルや削除済み項目を抽出し、メールの配送経路や通信履歴を調べるスキル。

• Outlookの不審メールを調べたいとき
• ヘッダーから配送経路を追いたいとき
• 添付ファイルを抽出したいとき

Intel CHIPSECでBIOSやSecure Bootの保護設定を点検し、ファームウェアの書き換えリスクや不審な変更を調べるための情報を収集するスキル。

• 新しい機器のファームウェア安全性評価
• BIOSとSPI flashの書き込み保護確認
• 正常なファームウェアと比較したいとき

Apache・Nginxのアクセスログから攻撃の痕跡や不審なアクセス傾向を調べ、送信元IPの地理情報を加えて、優先順位付きの調査報告にまとめるスキル。

• Webアクセスログの不審な通信を調べたいとき
• 注入攻撃や不正なファイル参照の痕跡調査
• スキャナーやログイン連続試行の確認

Kubernetesの役割と権限の割り当てを監査し、過剰な権限やサービスアカウントのトークン悪用経路を調べ、改善の優先順位をまとめるスキル。

• Kubernetesの権限昇格経路の監査
• RBAC変更後の権限確認
• 過剰な権限を使うワークロードの特定

Windowsに残るフォルダー閲覧の痕跡を解析し、削除済みの場所や取り外したUSB、ネットワーク共有へのアクセス履歴を調べるスキル。

• フォルダーの閲覧履歴を調べたいとき
• 取り外したUSBの閲覧痕跡の調査
• 削除済みフォルダーのアクセス調査

ランサムウェアの身代金送付先を公開ブロックチェーンで調べ、関連ウォレットや取引所への資金移動を追跡し、調査報告書にまとめるスキルです。

• 身代金要求文の送付先を調べたいとき
• 支払い後の資金移動を追いたいとき
• 複数事件の関連ウォレット調査

Windowsのショートカットから参照先や日時、ドライブ・端末の識別情報を抽出し、USBや共有フォルダーへのアクセスの痕跡を時系列に整理するスキル。

• 文書へのアクセス履歴を再構成したいとき
• USB内のファイルへの参照を調べたいとき
• 共有フォルダーへのアクセスを調べたいとき

NTFSのディスクイメージを詳しく調べ、余剰領域の残存データや隠されたデータを探します。削除ファイルの管理情報、記録に残る変更履歴、時刻改変の疑いも分析します。

• 余剰領域の残存データを探したいとき
• 削除ファイルの管理情報の調査
• 記録に残るファイル変更の再構成

ランサムウェアの情報公開サイトに掲載された被害組織の情報を収集・整理し、攻撃グループの活動推移や業種・国別の傾向を分析して報告書にまとめます。

• 攻撃グループの月次動向を追いたいとき
• 業種・国別のリスク評価
• 新たな攻撃グループの把握

Splunkで認証・端末・通信ログを突き合わせ、不正ログインや情報流出の兆候を調べます。発生順の整理から調査報告、継続監視の検知ルール作成まで支援します。

• 不審なログインを複数ログで調べたいとき
• インシデントの時系列を復元したいとき
• 不審なプロセスと外部通信の追跡