サイバーセキュリティの知識体系（CyBOK）のトレーニングコース

この講師主導のライブトレーニング（オンラインまたはオンサイト）は、システム管理者が 389 ディレクトリ サーバーを使用して LDAP ベースの認証と認可を設定および管理することを目指しています。

このトレーニング終了時には、参加者は以下のことができます：

• 389 ディレクトリ サーバーをインストールし、構成する。
• 389 ディレクトリ サーバーの機能とアーキテクチャを理解する。
• Web コンソールと CLI を使用してディレクトリ サーバーを構成する方法を学ぶ。
• 高可用性と負荷分散のためにレプリケーションを設定し、監視する。
• SSSD を使用して LDAP 認証を管理し、パフォーマンスを向上させる。
• 389 ディレクトリ サーバーを Microsoft Active Directory と統合する。

このインストラクター主導のライブトレーニング（オンラインまたはオンサイト）は、Microsoft Active Directory を使用してデータアクセスを管理および保護したいシステム管理者向けです。

このトレーニング終了後、参加者は以下ができます：

• Active Directory のセットアップと構成を行います。
• ドメインの設定を行い、ユーザーとデバイスのアクセス権を定義します。
• グループポリシーを使用してユーザーとマシンを管理します。
• ファイルサーバーへのアクセスを制御します。
• 証明書サービスのセットアップと証明書の管理を行います。
• 暗号化、証明書、認証などのサービスを実装および管理します。

Android はスマートフォンやタブレットなどのモバイルデバイス向けのオープンプラットフォームです。多くのセキュリティ機能を備えており、安全なソフトウェア開発がより容易になります。しかし、他の携帯機器プラットフォームに存在する特定のセキュリティ側面は欠けています。本コースではこれらの機能について包括的な概要を提供し、Linux の基本層やファイルシステム、一般的な環境、権限の使用やその他の Android ソフトウェア開発コンポーネントに関連する最も重要な欠点に注意するべき点を指摘します。

ネイティブコードと Java アプリケーションの典型的なセキュリティ上の落とし穴や脆弱性について説明し、それらを回避および軽減するための推奨事項とベストプラクティスも紹介します。多くの場合、議論される問題は実際の例やケーススタディでサポートされます。最後に、セキュリティテストツールを使用して、プログラミングのセキュリティに関連するバグを発見する方法について簡単に説明します。

このコースに参加する受講者は

• セキュリティ、IT セキュリティ、およびセキュアコーディングの基本概念を理解します
• Android でのセキュリティソリューションについて学びます
• Android プラットフォームのさまざまなセキュリティ機能を使用する方法を学びます
• 最近の Java における脆弱性に関する情報を得ます
• 典型的なコーディングミスとそれを避ける方法について学びます
• Android 上でのネイティブコードの脆弱性を理解します
• ネイティブコードにおける不適切なバッファ処理がもたらす重大な結果に気づきます
• アーキテクチャ保護技術とその弱点を理解します
• セキュアコーディングプラクティスの情報源とさらなる読み物を得ます

対象者

専門家

セキュアなネットワークアプリケーションの実装は、暗号化やデジタル署名などの暗号技術を過去に使用したことがある開発者にとっても困難です。このため、参加者がこれらの暗号プリミティブの役割と使用方法を理解できるよう、安全な通信の主な要件である「安全な確認」、「整合性」、「機密性」、「リモート認証」、「匿名性」について堅固な基礎を提供します。また、これらの要件に損傷を与える典型的な問題とその解決策についても説明します。

ネットワークセキュリティの重要な側面である暗号技術については、対称暗号、ハッシング、非対称暗号、および鍵共有に関する最も重要な暗号アルゴリズムについても議論します。数学的な詳細を深く説明するのではなく、これらの要素は開発者の視点から議論され、典型的なユースケースと暗号を使用する際の実践的な考慮事項（公開鍵基盤など）が示されます。多くのセキュリティプロトコルが導入され、IPSECやSSL/TLSなどの最も広く使用されているプロトコルファミリーについて詳しく議論します。

特定の暗号アルゴリズムや暗号プロトコルに関連する典型的な暗号脆弱性（BEAST、CRIME、TIME、BREACH、FREAK、Logjam、パディングオラクル、Lucky Thirteen、POODLEなど）についても議論します。それぞれの問題について、実践的な考慮事項と潜在的な影響が説明されますが、数学的な詳細には深く入りません。

最後に、XML技術はネットワークアプリケーション間でのデータ交換の中心的な役割を果たすため、XMLのセキュリティ側面についても説明します。これには、WebサービスやSOAPメッセージ内でのXMLの使用と、XML署名やXML暗号化などの保護措置の使用が含まれます。また、これらの保護措置の弱点やXML特有のセキュリティ問題（XMLインジェクション、XML外部エンティティ（XXE）攻撃、XMLボム、XPathインジェクションなど）についても説明します。

このコースに参加する受講者は

• セキュリティ、ITセキュリティ、安全なコーディングの基本概念を理解する
• 安全な通信の要件を理解する
• 異なるOSI層でのネットワーク攻撃と防御について学ぶ
• 実践的な暗号技術を理解する
• 重要なセキュリティプロトコルを理解する
• 最近の暗号システムに対する攻撃を理解する
• 関連する最近の脆弱性についての情報を得る
• Webサービスのセキュリティ概念を理解する
• 安全なコーディング実践に関する情報源と更なる読み物を得る

対象者

開発者、専門家

この3日間のコースでは、メモリ管理や入力処理における脆弱性を悪用する悪意のあるユーザーから C/C++ コードを保護する基本について学びます。セキュアコードの作成に関する原則もカバーします。

経験豊富な Java プログラマでさえ、Java が提供するさまざまなセキュリティサービスを完全に理解しているわけではなく、Java で書かれた Web アプリケーションに関連する異なる脆弱性についても十分に認識していない場合があります。

このコースでは、Standard Java Edition のセキュリティコンポーネントの紹介に加えて、Java Enterprise Edition (JEE) と Web サービスのセキュリティ問題を取り扱います。特定のサービスの説明は、暗号化と安全な通信の基礎から始まります。さまざまな演習では、JEE の宣言的およびプログラム的なセキュリティ技術が扱われ、Web サービスのトランスポート層とエンドツーエンドのセキュリティについても議論されます。すべてのコンポーネントの使用方法は、参加者が実際に議論された API とツールを試すことができる実践的な演習を通じて紹介されます。

また、このコースでは、Java 言語およびプラットフォームと Web 関連の脆弱性に関する最も頻繁で深刻なプログラミングの欠陥について説明します。Java プログラマが犯しやすい典型的なバグに加えて、紹介されるセキュリティ上の脆弱性には言語特有の問題と実行時の環境から生じる問題が含まれます。すべての脆弱性と関連する攻撃は、理解しやすい演習を通じて示され、その後、推奨されるコーディングガイドラインと対策技術について説明します。

このコースに参加すると、次のことができます

• セキュリティ、IT セキュリティ、安全なコーディングの基本概念を理解する
• OWASP Top Ten 以外の Web 脆弱性について学び、それらを避ける方法を知る
• Web サービスのセキュリティ概念を理解する
• Java 開発環境のさまざまなセキュリティ機能を使用する方法を学ぶ
• 暗号化の実践的な理解を得る
• Java EE のセキュリティソリューションを理解する
• 典型的なコーディングミスとそれを避ける方法について学ぶ
• Java フレームワークの最近の脆弱性に関する情報を得る
• セキュリティテストツールを使用する実践的な知識を得る
• 安全なコーディング慣行についての情報源とさらなる読み物を得る

対象者

開発者

説明

Java言語とランタイム環境（JRE）は、C/C++など他の言語で一般的に発生する最も問題のある一般的なセキュリティ脆弱性から自由であるように設計されました。しかし、ソフトウェア開発者やアーキテクトは、Java環境のさまざまなセキュリティ機能を使用する方法（ポジティブセキュリティ）を知るだけでなく、Java開発に関連する多くの脆弱性（ネガティブセキュリティ）についても認識しておく必要があります。

セキュリティサービスの導入に先立ち、適用可能なコンポーネントの目的と動作を理解するための暗号学の基礎の概要が提供されます。これらのコンポーネントの使用は、参加者が実際に議論されたAPIを試すことができるいくつかの実践的な演習を通じて説明されます。

このコースでは、Java言語とプラットフォームで最も頻繁かつ深刻なプログラミングの欠陥について説明し、Java開発者が犯しがちな典型的なバグや、言語および環境固有の問題についてもカバーします。すべての脆弱性と関連する攻撃は、理解しやすい演習を通じて示され、その後に推奨されるコーディングガイドラインと可能な軽減技術が続きます。

このコースに参加する受講者は

• セキュリティ、ITセキュリティ、安全なコーディングの基本概念を理解する
• OWASPトップテンを超えるWeb脆弱性について学び、それらを避ける方法を知る
• Java開発環境のさまざまなセキュリティ機能を使用する方法を学ぶ
• 暗号技術に実践的な理解を得る
• 典型的なコーディングミスとそれを避ける方法について学ぶ
• Javaフレームワークの最近の脆弱性について得る
• 安全なコーディングプラクティスに関する情報源や追加の読み物を得る

対象者

開発者

現在、多くのプログラミング言語が .NET および ASP.NET フレームワーク用にコードをコンパイルするために利用できます。この環境は強力なセキュリティ開発の手段を提供していますが、開発者はアーキテクチャレベルとコーディングレベルのプログラミング技術をどのように適用すれば、望まれるセキュリティ機能を実装し、脆弱性を回避またはその悪用を制限できるかを知る必要があります。

このコースの目的は、開発者が多数のハンズオン演習を通じて信頼されていないコードが特権アクションを行うことを防止する方法、強力な認証と認可によりリソースを保護する方法、リモートプロシージャコールを提供する方法、セッションを処理する方法、特定の機能に対する異なる実装を導入する方法などについて学ぶことです。

さまざまな脆弱性の紹介は、.NET を使用する際に犯される典型的なプログラミング問題から始まります。ASP.NET の脆弱性の議論では、環境設定とその影響についても扱います。最後に、ASP.NET 特有の脆弱性に関するトピックは、一般的な Web アプリケーションセキュリティの課題だけでなく、ViewState への攻撃や文字列終端攻撃などの特殊な問題と攻撃方法についても取り上げます。

このコースに参加する受講者は

• セキュリティ、IT セキュリティ、および安全なコーディングの基本概念を理解します
• OWASP Top Ten 以外の Web 脆弱性について学び、それらを回避する方法を知ります
• .NET 開発環境のさまざまなセキュリティ機能を使用する方法を学びます
• セキュリティテストツールの使用に関する実践的な知識を得ます
• 典型的なコーディングミスとそれを回避する方法について学びます
• .NET および ASP.NET の最近の脆弱性に関する情報を得ます
• 安全なコーディング実践に関する情報源や追加の読み物を得ます

対象者

開発者

このコースでは、一般的なセキュリティ概念を紹介し、使用するプログラミング言語やプラットフォームに関係なく脆弱性の本質について概観します。また、ソフトウェア開発ライフサイクルの各段階で適用されるソフトウェアセキュリティに関するリスクの取り扱い方法を説明します。技術的な詳細には深く立ち入らずに、さまざまなソフトウェア開発テクノロジーにおける最も興味深いかつ痛ましい脆弱性についてハイライトし、セキュリティテストの課題と問題点を見つけ出すために適用できる一部の手法やツールを紹介します。

このコースに参加する受講者は

• セキュリティ、ITセキュリティ、およびセキュアコーディングの基本概念を理解します
• サーバー側とクライアント側のWeb脆弱性を理解します
• 不安定なバッファ処理の深刻な影響を認識します
• 開発環境やフレームワークにおける最近の脆弱性について情報を得ます
• 典型的なコーディングミスとそれを避ける方法を学びます
• セキュリティテストの手法とアプローチを理解します

対象者

マネージャー

この講師主導のライブトレーニング（オンラインまたはオンサイト）は、組織のユーザー、グループ、およびマシンの認証、認可、アカウント情報をFreeIPAを使って一元化したいシステム管理者を対象としています。

このトレーニング終了時には、参加者は以下のことが Able to できるようになります:

• FreeIPAをインストールおよび構成する。
• Linuxユーザーとクライアントを単一の一元化された場所から管理する。
• FreeIPAのCLI、Web UI、RPCインターフェースを使用して権限を設定および管理する。
• すべてのシステム、サービス、アプリケーションでのシングルサインオン認証を有効にする。
• FreeIPAとWindows Active Directoryを統合する。
• FreeIPAサーバーのバックアップ、レプリケーション、移行を行う。

このインストラクター主導のライブトレーニング（オンラインまたはオンサイト）は、システム管理者向けに設計されており、Oktaをアイデンティティおよびアクセス管理に使用することを目指しています。

このトレーニング終了時には、参加者は以下のことができます：

• Oktaを設定、統合、管理する
• 既存のアプリケーションにOktaを統合する
• 多要素認証を使用してセキュリティを実装する

このインストラクター主導のライブトレーニング（オンラインまたはオンサイト）では、中級レベルのシステム管理者および IT プロフェッショナルを対象としています。OpenLDAP を使用して LDAP ディレクトリをインストール、構成、管理、およびセキュアにする方法を学びます。

このトレーニング終了時には、参加者は以下のことができます：

• LDAP ディレクトリの構造と動作を理解する
• さまざまな展開環境で OpenLDAP をインストールおよび設定する
• アクセス制御、認証、およびレプリケーションメカニズムを実装する
• OpenLDAP をサードパーティのサービスやアプリケーションと連携させる

このインストラクター主導のライブトレーニング（オンラインまたはオンサイト）は、システム管理者がOpenAMを使用してウェブアプリケーションのアイデンティティおよびアクセス制御を管理することを目指しています。

このトレーニング終了時には、参加者は以下のことができるようになります：

• 認証とアクセス制御の設定に必要なサーバ環境をセットアップする。
• シングルサインオン（SSO）、マルチファクタ認証（MFA）、およびユーザーのセルフサービス機能をウェブアプリケーションで実装する。
• フェデレーションサービス（OAuth 2.0、OpenID、SAML v2.0など）を使用して、異なるシステムやアプリケーション間でのアイデンティティ管理を安全に拡張する。
• REST APIを通じて認証、認可、およびアイデンティティサービスにアクセスし、管理する。

このインストラクター主導の実践的なトレーニング（オンラインまたは対面）は、システム管理者が生産環境でOpenDJを使用して組織のユーザーキャッシュを管理したい場合に向けられています。

このトレーニングの終了時には、参加者は以下のことが able になります：

• OpenDJのインストールと設定。
• サーバーの監視、トラブルシューティング、パフォーマンスの最適化を含むOpenDJサーバーの維持管理。
• 複数のOpenDJデータベースの作成と管理。
• OpenDJサーバーのバックアップと移行。