エグゼクティブ向けサイバーセキュリティ意識向上講座のトレーニングコース

この講習会形式の実践トレーニング 日本（オンラインまたはオンサイト）は、389ディレクトリサーバーを活用してLDAPベースの認証および認可処理を設定・管理したいシステム管理者向けに用意されています。

受講後には、参加者は以下の事項を実行できるようになります：

• 389ディレクトリサーバーのインストールおよび設定を行う
• 389ディレクトリサーバーの機能とアーキテクチャについて理解する
• WebコンソールやCLIを用いてディレクトリサーバーを設定する方法を学ぶ
• 高可用性および負荷分散のためのレプリケーション設定・監視を行う
• SSSDを利用してLDAP認証を効率化し、パフォーマンス向上を図る
• 389ディレクトリサーバーとMicrosoft Active Directoryとの連携設定を行う

日本 でのインストラクター主導の実習トレーニング（オンラインまたは onsite）は、Microsoft Active Directory を活用してデータのアクセス管理とセキュリティ確保を行いたいシステム管理者を対象としています。

本トレーニングの終了後、参加者は以下ができるようになります：

• Active Directory のセットアップと構成
• ドメインの設定およびユーザーやデバイスのアクセス権限の定義
• グループ ポリシーを通じたユーザーとマシンの管理
• ファイル サーバーへのアクセス制御
• 証明書サービスのセットアップと証明書の管理
• 暗号化、証明書、認証などのサービスの実装と管理

安全なネットワークアプリケーションの実装は、たとえこれまでに暗号化やデジタル署名といった各種暗号技術を利用してきた開発者であっても容易ではありません。受講生がこうした暗号処理要素の役割と用法を正しく理解できるよう、まず安全な通信における基本的要件――つまり確実な応答確認、データ整合性、機密性、遠隔側での認証および匿名性――についてしっかりとした基礎知識を提供します。さらにこれらの要件を損なう可能性のある典型的な問題と、それらに対する現実的な解決策も紹介していきます。

ネットワークセキュリティにおいて暗号技術が極めて重要であることから、共通鍵暗号、ハッシュ関数、公開鍵暗号および鍵交換方式における主要なアルゴリズムについても説明します。深い数学的理論の解説は避けつつ、開発者視点で実際の利用例や公開鍵基盤といった実践面での留意事項を示していきます。さらに安全な通信分野におけるさまざまなセキュリティプロトコルも取り上げ、特に広く使われているIPSECおよびSSL/TLSに関して詳細に解説します。

特定の暗号アルゴリズムやプロトコルに起因する脆弱性としては、BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLEなどが挙げられます。またRSAのタイミング攻撃もその例です。それぞれの問題点について、具体的な対策や潜在的な影響を平易に説明しますが、高度な数学的理論には立ち入りません。

さらにネットワークアプリケーションにおいてデータ交換手段として重要となるXMLのセキュリティ側面についても述べます。具体的にはWebサービスやSOAPメッセージにおけるXMLの利用法、XML署名や暗号化といった保護手法のほか、これらの不備が引き起こす脆弱性ならびにXML固有の問題――例えばXMLインジェクションやXML外部エンティティ（XXE）攻撃、XML爆弾、XPathインジェクションなども解説します。

本講座を受講することで

• セキュリティの基本概念やITセキュリティおよび安全なコーディングについて理解できる
• 安全な通信に求められる要件を把握できる
• OSIモデルの各層におけるネットワーク攻撃手法と防御策を学べる
• 暗号技術の実践的な知識を得られる
• 主要なセキュリティプロトコルの機能内容が理解できる
• 近年に発生した暗号システムに対する攻撃事例を把握できる
• 最近報告された関連脆弱性に関する情報を得られる
• Webサービスにおけるセキュリティ原則が理解できる
• 安全なコーディングのための参考資料や学習リソースが把握できる

対象者

開発者、技術担当者

C言語およびC++で安全なコードを記述するには、悪意ある攻撃やメモリ破損、入力値検証の回避策に対して厳格な防御手段を講じる必要があります。本プログラムでは、バッファオーバーフロー、使用後解放メモリへのアクセス、整数オーバーフロー、型混乱といった脆弱性パターンについて解説します。受講者は、安全なコーディングのガイドラインや静的解析ツール、防御的なプログラミング手法を実践することで、弱点を排除し、入力値検証を適切に行い、サイバー攻撃に対して強固なソフトウェアを作成できるようになります。

熟練したJavaプログラマーであっても、Javaが提供するさまざまなセキュリティ機能を完全に理解しているわけではなく、またJavaで作成されたWebアプリケーションに関連する脆弱性についても十分に認識していないのが実情です。

本コースでは、標準版Javaにおけるセキュリティコンポーネントを紹介するとともに、Java EE（Java Enterprise Edition）およびWebサービスに関するセキュリティ問題にも触れます。各種機能の解説に先立ち、暗号技術や安全な通信の基礎知識も学びます。実習を通じてJEEにおける宣言的およびプログラム的アプローチによるセキュリティ手法について習得し、Webサービスのトランスポート層からエンドツーエンドに至るまでのセキュリティ対策も学んでいきます。さらに、実際の演習課題を通じて各種コンポーネントの使い方を体験でき、受講者は説明されたAPIやツールを自ら試す機会にも恵まれます。

また、Java言語・プラットフォームおよびWeb関連において頻出する深刻なプログラミング上の欠陥や脆弱性についても詳しく解説します。一般的なJavaプログラマーのミスに加え、言語固有の問題や実行環境由来の懸念点まで網羅して紹介します。これらの脆弱性やそれを悪用した攻撃方法は分かりやすい演習課題を通じて示され、その後で推奨されるコーディング指針および対策手法も学びます。

本コースの受講者には以下のスキルが身につきます

• セキュリティ、ITセキュリティ、安全なコーディングに関する基本概念を理解できる
• OWASP Top Ten以外のWeb脆弱性も把握し、その対策法を学べる
• Webサービスにおけるセキュリティの概念を理解できる
• Java開発環境が提供する各種セキュリティ機能の使い方を習得できる
• 暗号技術について実践的な知識を身につけられる
• Java EEにおけるセキュリティ対策手法を理解できる
• 典型的なコーディングミスとその回避方法を学べる
• 最近報告されたJavaフレームワークの脆弱性情報も把握できる
• セキュリティテスト用ツールの利用法に関する実務知識が得られる
• 安全なコーディングに役立つ参考資料や関連文献を入手できる

対象者

開発者

現在では、.NETおよびASP.NETフレームワーク向けにコードを記述するためにさまざまなプログラミング言語が利用可能です。この環境はセキュリティ対策の実装に適した強力な機能を備えていますが、開発者はアーキテクチャレベルおよびコーディングレベルの技術を用いて望ましいセキュリティ機能を実現し、脆弱性の発生やその悪用を防ぐ方法を理解しておく必要があります。

本コースでは、数多くの実践的な演習を通じて、信頼できないコードが権限付与された操作を行えないようにする方法、強力な認証・認可機構によるリソース保護、リモートプロシージャコールの実装、セッション管理手法などを開発者に習得させることを目的としています。

さまざまな脆弱性については、.NET利用時に起こりやすい典型的なプログラミング上の問題から紹介が始まります。ASP.NETに関する内容では環境設定そのものとそれによる影響も扱います。さらにASP.NET固有の脆弱性に関しては、一般的なWebアプリケーションセキュリティ課題だけでなく、ViewState攻撃や文字列終端攻撃といった特殊な攻撃手法についても解説します。

このコースを受講することで参加者は

• セキュリティ、ITセキュリティ、およびセキュアコーディングの基本的概念を理解できる
• OWASP Top Ten以外にも存在するWeb上の脆弱性とその回避方法を学べる
• .NET開発環境が提供する各種セキュリティ機能の使い方を習得できる
• セキュリティテストツールを実践的に活用するための知識を得られる
• コーディング時によく見受けられる失敗例とその回避策について理解できる
• .NETおよびASP.NETにおける最近発生した脆弱性に関する情報を把握できる
• セキュアコーディング実践に役立つ参考資料や追加学習リソースが分かる

対象者

開発者の方々

本講座では、PHP開発者がインターネット上の現代的な攻撃からアプリケーションを守るために必要となる基礎的なスキルを身につけます。OWASP Top 10に留まらず、PHPを例にしてさまざまなウェブ脆弱性について解説します。具体的には各種のインジェクション攻撃やスクリプトインジェクション、PHPのセッション処理に関する攻撃、不適切なオブジェクト参照による問題、ファイルアップロード時のリスクなどが挙げられます。さらに、入力検証の不足・誤り、エラーおよび例外処理の不備、セキュリティ機能の誤用、時間や状態に関連する問題といった典型的な脆弱性タイプごとにPHP特有の問題を整理します。後者においてはopen_basedir回避攻撃や浮動小数点数を用いたサービス拒否攻撃、ハッシュテーブル衝突攻撃などについても取り上げます。受講者はこれらすべての状況に対してリスク低減に用いられる主要な手法や関数を確実に習得します。

また、JavaScript、Ajax、HTML5といったクライアントサイドにおけるセキュリティ問題にも特別な注意が払われます。暗号化用のhash、mcrypt、OpenSSLモジュールや入力検証用のCtype、ext/filter、HTML Purifierなど、PHP向けの各種セキュリティ関連拡張機能についても紹介します。さらにPHPの設定ファイルphp.iniをはじめとしてApacheやサーバ全体における強化策についても解説します。最後に、開発者およびテスターが利用可能な様々なセキュリティ診断ツールと技術について概観します。例えばセキュリティスキャナーやペネトレーションテスト用のエクスプロイトパック、パケット解析ツール、プロキシサーバ、ファジングツール、静的ソースコード分析器などがこれに該当します。

脆弱性解説と設定手法は、実践的な演習を通じて補完されます。これらにより攻撃成功時の影響を具体的に体験するとともに、低減技術の適用方法や各種拡張機能・ツールの利用法も学ぶことができます。

本講座を受講することで参加者は

• セキュリティ、ITセキュリティおよびセキュアコーディングに関する基本的概念を理解できる
• OWASP Top 10以外のウェブ脆弱性について学び、それらを回避する方法も知ることができる
• クライアントサイドの脆弱性とセキュアコーディング手法について習得できる
• 暗号化技術に関して実践的な理解が得られる
• PHPにおける各種セキュリティ機能の利用法を学べる
• 典型的なコーディングミスとそれらを回避する方法について習得できる
• 最近確認されたPHPフレームワークの脆弱性に関して情報を得られる
• セキュリティ診断ツールの使用法について実践的な知識が身につく
• セキュアコーディング手法に関する資料や参考文献も入手可能となる

対象者

開発者様

統合SDLコアトレーニングでは、Microsoft Secure Development Lifecycle (SDL) を通じて安全なソフトウェア設計、開発、テストに関する洞察を提供します。SDLの基本的な構成要素について100レベルの概要を説明し、開発プロセスの初期段階で欠陥を検出および修正するためのデザイン手法について解説します。

開発フェーズでは、マネージドコードとネイティブコードの一般的なセキュリティ関連のプログラミングバグの概要を提供します。議論された脆弱性に対する攻撃手法とその対策技術についても説明し、多数の実践的な演習を通じて参加者がライブハッキングの楽しさを味わえるようにしています。さまざまなセキュリティテスト方法の紹介に続き、異なるテストツールの効果性が示されます。参加者は、これらのツールを既に議論された脆弱なコードに適用する実践的な演習を通じてツールの動作を理解できます。

このコースに参加する人は

セキュリティ、ITセキュリティ、安全なコーディングの基本概念を理解します

Microsoft Secure Development Lifecycle の主要なステップについて知ることができます

安全なデザインと開発の手法を学びます

安全な実装の原則を学びます

セキュリティテストの方法論を理解します

• 安全なコーディング手法に関する情報源とさらに読むべき書籍について得られます

対象者

開発者、管理者

日本にて開催される本講座では、参加者がDevOpsにおけるセキュリティ課題に対処するための適切な戦略を構築する方法を学びます。

EC-Council認定 DevSecOpsエンジニア（ECDE）は、実践重視のコースであり、受講者がDevOpsライフサイクル全体にセキュリティを組み込むためのスキルを習得できるように設計されています。これにより、計画段階からデプロイメントまで安全なソフトウェア開発が可能になります。

本講座はインストラクターによるライブ研修で、オンラインまたは現地開催も可能です。中級レベルのソフトウェアエンジニアやDevOps担当者を対象とし、CI/CDパイプラインにセキュリティ対策を統合させ、安全かつコンプライアンスに適合したコード配信を目指す方々向けです。

研修の修了後、受講者は以下の能力を身につけることができます：

• DevSecOpsの基本原則と実践方法を理解する
• 自動化ツールを用いてCI/CDパイプラインの各段階でセキュリティ対策を行う
• 安全なコーディング手法および脆弱性スキャンを実施する
• 実践的な演習と復習を通じてECDE認定試験に備える

講座の形式

• インタラクティブな講義およびディスカッション
• 模擬パイプライン内でDevSecOpsツールを実際に使用する体験
• 安全な開発・デプロイメント手法を中心とした演習指導

講座のカスタマイズオプション

• ご所属チームのワークフローや利用ツールに応じた講座内容の調整を希望される場合は、ご相談ください。

日本にて開催されるこのインストラクター主導のライブトレーニングは、FreeIPAを活用して組織全体のユーザー・グループ・端末情報を統合管理したいシステム管理者向けです。

講座終了時には、以下の能力を身につけることが可能となります：

• FreeIPAのインストールおよび設定方法の把握
• 複数のLinux端末やユーザーの管理を1か所から実施する技術
• CLI、Web UI、RPCインターフェースを用いた権限設定手法
• 全システム・サービス・アプリケーションにおけるシングルサインオン環境の構築
• Windows Active Directoryとの連携方法
• FreeIPAサーバーのバックアップ、レプリケーションおよび移行手順

日本（オンラインまたは対面）で行われる本講座は、Oktaを用いたアイデンティティおよびアクセス管理手法を習得したいシステム管理者向けに開催されます。

受講者は最終的に以下の能力を獲得できます：

• Oktaの設定・統合・管理を行う
• 既存のアプリケーションにOktaを導入する
• 多要素認証を用いてセキュリティ対策を実施する

OpenLDAPは、LDAP（軽量ディレクトリアクセスプロトコル）を実装するためのオープンソースソフトウェアです。このプロトコルにより情報ディレクトリの管理やアクセスが可能になります。OpenLDAPは広く利用されているディレクトリサーバーであり、ネットワーク上のユーザー、グループ、ネットワークリソースおよびその他のオブジェクトに関する情報を保存・共有するために活用できます。