テスト・セキュリティのスキル

OS再インストール後も残る不正プログラムを調べるため、UEFIファームウェアや起動用領域、Secure Bootの改変を検証し、調査結果をまとめるスキル。

• OS再インストール後の再感染調査
• Secure Bootの不審な変更確認
• ファームウェアの正常性を比較したいとき

ソフトウェアの構成部品表を既知の脆弱性情報と照合し、間接的な依存関係も追跡します。影響範囲とリスクを整理し、修正の優先順位や監査向けの報告書にまとめるスキルです。

• 取引先のSBOMを評価したいとき
• 新しいCVEの影響を調べたいとき
• CI/CDに脆弱性チェックを組み込む

TLS証明書の公開発行記録を検索し、ブランド名に似せたドメインや想定外の発行元を確認して、フィッシングや未把握のIT利用の兆候を調べます。

• ブランドを装うドメインの調査
• 想定外の証明書発行元の確認
• 未把握のドメインやIT資産の調査

Linuxの定期実行、サービス、シェル設定、SSH鍵などを点検し、侵入者がアクセスを維持する仕掛けを調べます。監査ログと照合して設置時系列とリスクを整理します。

• Linux侵害後のアクセス維持手段の調査
• 不審な定期実行やサービスの探索
• 監査ログから設置時系列を作りたいとき

書面で許可された環境で、Microsoft Entra IDのデバイスコードやアプリ同意を悪用するフィッシングを再現し、認証対策とアクセス範囲を検証します。

• 許可されたフィッシング演習
• Conditional AccessとMFAの検証
• アプリ同意の制限を確認したいとき

Terraformのコードや変更計画を検査し、過剰な権限、意図しない公開、暗号化の不足を洗い出します。独自ルールの作成や、デプロイ前の自動チェック導入も支援します。

• 配備前のTerraform構成レビュー
• CI/CDに安全性チェックを追加
• 組織独自の構成ルールを適用

不審なIPやURLなどに複数の脅威情報サービスの調査結果を自動で付け加え、スコアと統一形式の出力で、担当者によるアラートの優先度判断を支援するスキルです。

• アラートに脅威情報を付け加えたいとき
• フィッシング報告内のIOC調査
• 脅威フィードのIOC一括照会と形式統一

Microsoft Entra IDの認証設定や管理者権限、条件付きアクセス、休眠・ゲストアカウントを監査し、設定の抜けや過剰権限を整理するスキル。

• Azureの認証設定と管理者権限の監査
• 買収先テナントの統合前評価
• 休眠アカウントと特権ゲストの確認

Windowsに残るフォルダー閲覧の痕跡を解析し、削除済みの場所や取り外したUSB、ネットワーク共有へのアクセス履歴を調べるスキル。

• フォルダーの閲覧履歴を調べたいとき
• 取り外したUSBの閲覧痕跡の調査
• 削除済みフォルダーのアクセス調査

WindowsのPrefetchファイルからプログラムの実行回数・日時や参照ファイルを抽出し、不審なソフトの実行確認と、調査用の時系列整理に役立てるスキル。

• 不審なプログラムの実行確認
• 調査で見つかったツールの実行順序の整理
• 圧縮・ファイル転送ツールの使用調査

OutlookのPST・OSTファイルから本文、ヘッダー、添付ファイルや削除済み項目を抽出し、メールの配送経路や通信履歴を調べるスキル。

• Outlookの不審メールを調べたいとき
• ヘッダーから配送経路を追いたいとき
• 添付ファイルを抽出したいとき

NTFSのディスクイメージを詳しく調べ、余剰領域の残存データや隠されたデータを探します。削除ファイルの管理情報、記録に残る変更履歴、時刻改変の疑いも分析します。

• 余剰領域の残存データを探したいとき
• 削除ファイルの管理情報の調査
• 記録に残るファイル変更の再構成

Kubernetesの役割と権限の割り当てを監査し、過剰な権限やサービスアカウントのトークン悪用経路を調べ、改善の優先順位をまとめるスキル。

• Kubernetesの権限昇格経路の監査
• RBAC変更後の権限確認
• 過剰な権限を使うワークロードの特定

GCPのアクセス権限を組織やプロジェクト単位で監査し、広すぎるロール、不要なサービスアカウント鍵、なりすましや公開設定のリスクを洗い出して、見直しにつなげます。

• GCP組織全体の権限を見直したいとき
• OwnerやEditorを減らしたいとき
• 未使用アカウントと鍵の棚卸し

TLS証明書の公開記録を監視し、管理ドメインの想定外の証明書発行や未知のサブドメイン、類似ドメインを調べ、通知と証明書台帳の作成を支援するスキルです。

• 管理ドメインの想定外の証明書発行を監視
• サブドメインの発見とDNS確認
• 類似ドメインの証明書を調べたいとき

SplunkでWindowsの認証やプロセスのログを分析し、不審なログイン、権限昇格、侵入後の活動を調べます。検知クエリの作成や時系列整理にも使えます。

• Windowsの不審な認証を調べたいとき
• Splunkの検知クエリ作成
• インシデントの時系列整理

Kubernetesの役割に基づくアクセス制御を監査し、過剰な権限や危険な割り当て、サービスアカウントの悪用につながる設定と改善点を整理します。

• 共有クラスタのアクセス権限を見直したいとき
• 機密情報の参照権限や権限昇格経路の調査
• サービスアカウントのトークン配置の確認

既知の不審なドメインやIPを起点に、DNS履歴や登録情報から関連する攻撃基盤を探索。関係図を作り、既知の命名パターンに合う新たなドメインを監視します。

• 既知の不審IPから関連ドメイン探索
• 攻撃者のC2基盤の関係図作成
• 既知の命名パターンに合うドメイン監視

不審なPDFを閲覧せずに内部構造を調べ、埋め込まれたJavaScriptやファイル、外部URLを抽出し、攻撃の仕組みと調査結果を整理するスキル。

• 不審な添付PDFを一次調査したいとき
• JavaScriptや自動実行を調べたいとき
• 埋め込みファイルやURLを抽出したいとき

Apache・Nginxのアクセスログから攻撃の痕跡や不審なアクセス傾向を調べ、送信元IPの地理情報を加えて、優先順位付きの調査報告にまとめるスキル。

• Webアクセスログの不審な通信を調べたいとき
• 注入攻撃や不正なファイル参照の痕跡調査
• スキャナーやログイン連続試行の確認

複数の脅威情報フィードから侵害の手掛かりや攻撃の背景を抽出し、情報源の品質評価、形式の統一、重複排除、関連情報の追加を経て監視システムへの配信を支援するスキル。

• 脅威情報フィードの品質や関連性の評価
• 侵害の手掛かりをSTIX 2.1に統一したいとき
• 重複を除いて攻撃活動の背景を補いたいとき

改ざんされた更新ファイルや依存パッケージを調査し、正規版との違いや署名の異常を確認します。ソフトウェア供給網を通じた侵入経路と影響範囲を整理するスキル。

• 疑わしい更新ファイルを正規版と比較
• コード署名と注入コードの調査
• ビルド成果物から感染経路を追いたいとき

攻撃者の行動や侵害の痕跡をMITRE ATT&CKの手法に対応付け、検知範囲を可視化します。未監視の手法や集団間の共通点を整理し、監視改善に役立てます。

• 攻撃行動と侵害の痕跡を手法に対応付け
• ATT&CK Navigatorで検知範囲を可視化
• 監視できていない攻撃手法の洗い出し

WindowsのPowerShellログからEmpireに特徴的な起動コマンドや通信先、モジュールの痕跡を探し、不審な活動を時系列と重要度付きで報告するスキル。

• Empireの活動が疑われる場合の調査
• 符号化コマンドや通信先を確認したいとき
• Empireの検知ルール作成