情報セキュリティの紹介とキャリアパスの設計のトレーニングコース

安全なネットワークアプリケーションの実装は、たとえこれまでに暗号化やデジタル署名といった各種暗号技術を利用してきた開発者であっても容易ではありません。受講生がこうした暗号処理要素の役割と用法を正しく理解できるよう、まず安全な通信における基本的要件――つまり確実な応答確認、データ整合性、機密性、遠隔側での認証および匿名性――についてしっかりとした基礎知識を提供します。さらにこれらの要件を損なう可能性のある典型的な問題と、それらに対する現実的な解決策も紹介していきます。

ネットワークセキュリティにおいて暗号技術が極めて重要であることから、共通鍵暗号、ハッシュ関数、公開鍵暗号および鍵交換方式における主要なアルゴリズムについても説明します。深い数学的理論の解説は避けつつ、開発者視点で実際の利用例や公開鍵基盤といった実践面での留意事項を示していきます。さらに安全な通信分野におけるさまざまなセキュリティプロトコルも取り上げ、特に広く使われているIPSECおよびSSL/TLSに関して詳細に解説します。

特定の暗号アルゴリズムやプロトコルに起因する脆弱性としては、BEAST、CRIME、TIME、BREACH、FREAK、Logjam、Padding oracle、Lucky Thirteen、POODLEなどが挙げられます。またRSAのタイミング攻撃もその例です。それぞれの問題点について、具体的な対策や潜在的な影響を平易に説明しますが、高度な数学的理論には立ち入りません。

さらにネットワークアプリケーションにおいてデータ交換手段として重要となるXMLのセキュリティ側面についても述べます。具体的にはWebサービスやSOAPメッセージにおけるXMLの利用法、XML署名や暗号化といった保護手法のほか、これらの不備が引き起こす脆弱性ならびにXML固有の問題――例えばXMLインジェクションやXML外部エンティティ（XXE）攻撃、XML爆弾、XPathインジェクションなども解説します。

本講座を受講することで

• セキュリティの基本概念やITセキュリティおよび安全なコーディングについて理解できる
• 安全な通信に求められる要件を把握できる
• OSIモデルの各層におけるネットワーク攻撃手法と防御策を学べる
• 暗号技術の実践的な知識を得られる
• 主要なセキュリティプロトコルの機能内容が理解できる
• 近年に発生した暗号システムに対する攻撃事例を把握できる
• 最近報告された関連脆弱性に関する情報を得られる
• Webサービスにおけるセキュリティ原則が理解できる
• 安全なコーディングのための参考資料や学習リソースが把握できる

対象者

開発者、技術担当者

安全なCおよびC++コードの記述には、悪意のある攻撃に対する厳格な防御、メモリ不正アクセスへの対策、入力検証の回避防止が必要です。このプログラムでは、バッファオーバーフロー、use-after-free、整数オーバーフロー、型混乱といった脆弱性パターンを詳しく解説します。参加者は安全なコーディングガイドライン、静的解析ツール、防御的プログラミング手法を活用して、弱点の除去、入力のサニタイズ（正当化）、およびサイバー攻撃に強い堅牢なソフトウェアの実装を行います。

経験豊富なJavaプログラマーであっても、Javaが提供するさまざまなセキュリティ機能を完全に習得しているわけではなく、またJavaで作成されたウェブアプリケーションに関連する脆弱性についても十分に理解していない場合があります。

本コースでは、標準版Javaのセキュリティコンポーネントを紹介するとともに、Java Enterprise Edition（JEE）およびウェブサービスのセキュリティ問題にも触れます。各種サービスについて解説する前に、暗号技術と安全な通信の基礎知識も解説します。さらに、JEEにおける宣言型およびプログラムによるセキュリティ手法に関する演習を多数実施し、ウェブサービスのトランスポート層やエンドツーエンドでのセキュリティについても説明します。各コンポーネントの使用方法は実践的な演習を通じて紹介され、受講者は説明されたAPIやツールを自ら試すことができます。

また、Java言語およびプラットフォームにおける最も頻繁に発生し深刻なプログラミング上の誤りや、ウェブ関連の脆弱性についても詳しく説明します。Javaプログラマーが陥りがちな典型的なバグに加え、言語固有の問題や実行環境由来のセキュリティリスクについても取り上げます。すべての脆弱性およびそれに対する攻撃手法は分かりやすい演習を通じて示され、その後で推奨されるコーディング指針や対策方法が説明されます。

本コースを受講することで

• セキュリティ、ITセキュリティ、安全なコーディングの基本概念を理解できる
• OWASP Top Ten以外のウェブ脆弱性について学び、回避方法も把握できる
• ウェブサービスのセキュリティ概念を理解できる
• Java開発環境が提供するさまざまなセキュリティ機能の利用法を習得できる
• 暗号技術に関して実践的な知識を身につけられる
• Java EEにおけるセキュリティソリューションについて理解できる
• 一般的なコーディングミスとその回避法について学べる
• 最近確認されたJavaフレームワークの脆弱性情報を得られる
• セキュリティテストツールの使い方に関する実践的な知識が得られる
• 安全なコーディング手法について参照できる情報源や関連資料が分かる

対象者

開発者

現在では、.NETおよびASP.NETフレームワーク向けにコードを記述するためにさまざまなプログラミング言語が利用可能です。この環境はセキュリティ対策の実装に適した強力な機能を備えていますが、開発者はアーキテクチャレベルおよびコーディングレベルの技術を用いて望ましいセキュリティ機能を実現し、脆弱性の発生やその悪用を防ぐ方法を理解しておく必要があります。

本コースでは、数多くの実践的な演習を通じて、信頼できないコードが権限付与された操作を行えないようにする方法、強力な認証・認可機構によるリソース保護、リモートプロシージャコールの実装、セッション管理手法などを開発者に習得させることを目的としています。

さまざまな脆弱性については、.NET利用時に起こりやすい典型的なプログラミング上の問題から紹介が始まります。ASP.NETに関する内容では環境設定そのものとそれによる影響も扱います。さらにASP.NET固有の脆弱性に関しては、一般的なWebアプリケーションセキュリティ課題だけでなく、ViewState攻撃や文字列終端攻撃といった特殊な攻撃手法についても解説します。

このコースを受講することで参加者は

• セキュリティ、ITセキュリティ、およびセキュアコーディングの基本的概念を理解できる
• OWASP Top Ten以外にも存在するWeb上の脆弱性とその回避方法を学べる
• .NET開発環境が提供する各種セキュリティ機能の使い方を習得できる
• セキュリティテストツールを実践的に活用するための知識を得られる
• コーディング時によく見受けられる失敗例とその回避策について理解できる
• .NETおよびASP.NETにおける最近発生した脆弱性に関する情報を把握できる
• セキュアコーディング実践に役立つ参考資料や追加学習リソースが分かる

対象者

開発者の方々

本コースでは、PHP開発者がインターネットを介した現代の攻撃からアプリケーションを堅牢にするために必要な基本スキルを提供します。OWASPトップテンを超えるWeb脆弱性について、PHPベースの例を用いて議論し、さまざまなインジェクション攻撃、スクリプトインジェクション、PHPのセッション処理に対する攻撃、不正な直接オブジェクト参照、ファイルアップロードの問題などを扱います。PHPに関連する脆弱性は、入力検証の不備や誤り、エラーおよび例外処理の不備、セキュリティ機能の不適切な使用、時間・状態関連の問題という標準的な脆弱性タイプに分類して紹介します。後者については、open_basedirの回避、マジック浮動小数点によるDoS攻撃、ハッシュテーブル衝突攻撃などの攻撃事例について説明します。すべてのケースで、参加者は記載されたリスクを軽減するために使用するべき最重要な技術と関数に親しみを持ちます。

特に、JavaScript、Ajax、HTML5のセキュリティ問題に対処するクライアントサイドセキュリティに重点を置きます。暗号化のためのhash、mcrypt、OpenSSLといったPHP用のセキュリティ関連拡張機能や、入力検証のためのCtype、ext/filter、HTML Purifierなどの拡張機能も紹介されます。また、php.iniの設定を含むPHP設定、Apache、そしてサーバー全体のベストプラクティスに基づくハードニング手法についても説明します。最後に、開発者やテスターが使用できる各種セキュリティテストツールと技法の概要として、セキュリティスキャナー、ペネトレーションテスト、エクスプロイトパック、スニファ、プロキシサーバー、ファジングツール、および静的ソースコードAnalyzerについて紹介します。

脆弱性の紹介と設定プラクティスは、成功した攻撃の結果を実演する多数のハンズオン演習によって補完され、どのように軽減技術を適用するか、そしてさまざまな拡張機能やツールの使用方法を紹介しています。

このコースを受講することで、参加者は以下のことを学びます

• セキュリティ、ITセキュリティ、セキュアコーディングの基本コンセプトを理解する
• OWASP Top Tenを超えるWeb脆弱性について学び、それらを回避する方法を知る
• クライアントサイドの脆弱性とセキュアコーディングプラクティスを学ぶ
• 暗号化に関する実践的な理解を得る
• PHPの各種セキュリティ機能の使用法を学ぶ
• 典型的なコーディングミスとその回避方法を学ぶ
• PHPフレームワークの最新の脆弱性について情報を得る
• セキュリティテストツールの使用方法に関する実践的な知識を得る
• セキュアコーディングプラクティスに関する参照資料とさらなる読書資源を得る

対象者

開発者

本講座では、Microsoftセキュア開発ライフサイクル（SDL）を通じて、安全なソフトウェアの設計・開発・テストについて理解を深めます。まずSDLにおける基本的な仕組みを入門レベルで解説し、その後は開発プロセスの初期段階において不具合を見つけて修正するための設計手法も紹介します。

さらに開発フェーズに焦点を当て、管理コードおよびネイティブコードにおける典型的なセキュリティ上のプログラミングバグについて解説します。取り上げられた脆弱性に対する攻撃手法やその緩和策も説明したうえで、実践的な演習を多数通じて受講生が実際にハッキング体験を行えるようにしています。また各種のセキュリティテスト手法について紹介し、さまざまなテストツールの有効性も実際に演示します。これらの演習を通じて受講生は、すでに取り上げた脆弱性を持つコードに対して各ツールを用いることにより、その仕組みについて深く理解できるようになります。

本講座を受講することで身につくスキル

セキュリティおよびITセキュリティ、さらに安全なコーディングの基本概念を理解できるようになります。

Microsoftセキュア開発ライフサイクルの主要ステップについても把握できます。

安全な設計および開発の実践方法を習得できます。

安全な実装のための基本原則を学びます。

セキュリティテストの手法についても理解できるようになります。

• 安全なコーディング実践に関する情報源や参考資料を入手できます。
  

対象者

開発者およびマネージャー

日本にて開催される本講座では、参加者がDevOpsにおけるセキュリティ課題に対処するための適切な戦略を構築する方法を学びます。

EC-Council認定 DevSecOpsエンジニア（ECDE）は、実践重視のコースであり、受講者がDevOpsライフサイクル全体にセキュリティを組み込むためのスキルを習得できるように設計されています。これにより、計画段階からデプロイメントまで安全なソフトウェア開発が可能になります。

本講座はインストラクターによるライブ研修で、オンラインまたは現地開催も可能です。中級レベルのソフトウェアエンジニアやDevOps担当者を対象とし、CI/CDパイプラインにセキュリティ対策を統合させ、安全かつコンプライアンスに適合したコード配信を目指す方々向けです。

研修の修了後、受講者は以下の能力を身につけることができます：

• DevSecOpsの基本原則と実践方法を理解する
• 自動化ツールを用いてCI/CDパイプラインの各段階でセキュリティ対策を行う
• 安全なコーディング手法および脆弱性スキャンを実施する
• 実践的な演習と復習を通じてECDE認定試験に備える

講座の形式

• インタラクティブな講義およびディスカッション
• 模擬パイプライン内でDevSecOpsツールを実際に使用する体験
• 安全な開発・デプロイメント手法を中心とした演習指導

講座のカスタマイズオプション

• ご所属チームのワークフローや利用ツールに応じた講座内容の調整を希望される場合は、ご相談ください。

日本（オンラインまたは対面式）で実施されるこの講座は、ネットワーク管理の基礎を学んだ初心者の方々を対象にしており、FortiGate 1100Eを用いて自社ネットワークの運用とセキュリティ強化を行いたい方向けです。

本講座を受講することで、以下のスキルが習得できます：

• FortiGate 1100Eの基本的な仕組みと機能を理解する。
• さまざまなネットワーク環境においてFortiGate 1100Eを導入・設定する方法を学ぶ。
• 基本的な設定や管理作業について実践的な経験を得る。
• セキュリティポリシー、NAT、VPNの仕組みを理解する。
• FortiGate 1100Eの監視およびメンテナンス方法を習得する。

日本にて開催される本講座は、中級レベルのネットワーク／セキュリティ担当者を対象としたインストラクター主導のライブ研修（オンラインまたは対面）です。受講者はFortigate 600Eを用いてネットワークの管理・保護を行う方法を学び、特に高可用性構成による信頼性とパフォーマンス向上にも重点を置きます。

本研修を終了すると、参加者は以下のことができるようになります：

• Fortigate 600Eファイアウォールの機能や仕様、動作原理を理解する。
• インターフェース設定やルーティング、初期ファイアウォールポリシーの作成など、基本的なセットアップを行う。
• SSL VPNやユーザー認証、ウイルス対策、IPS、ウェブフィルタリング、マルウェア対策といった高度なセキュリティ機能を設定・管理し、さまざまなネットワーク脅威から防御する。
• 高可用性構成における一般的な問題のトラブルシューティングや、HA環境の効率的な運用方法を習得する。

日本にて実施されるこのインストラクター主導のライブトレーニング（オンラインまたは現地開催）は、FortiGateファイアウォールを用いてネットワーク管理・保護を目指す中級レベルのネットワーク管理者向けです。

講座終了時には、受講者は以下のスキルを習得できるようになります：

• 特にバージョン7.4で追加・強化された機能を含め、FortiGateの各種機能について理解できる。
• FortiGateデバイスの設定・管理を行い、高度なセキュリティ機能も実装できる。
• IPS、アンチウイルス、ウェブフィルタリング、脅威管理などの高度なセキュリティ対策を展開し管理できる。
• ネットワーク活動の監視、ログ分析、および監査・コンプライアンス向けレポート作成が可能となる。

本講座は日本（オンラインまたは対面）で開催されるインストラクター主導のライブ研修で、Fortinetセキュリティシステムの運用・管理・監視・メンテナンスに必要なスキルを習得したい中級レベルのネットワーク管理者向けです。

研修終了時には、受講者は以下の能力を身につけることができます：

• FortiGateファイアウォールの設定および管理
• FortiAnalyzerを用いたネットワークトラフィックの監視とインシデント対応
• FortiManagerを利用した作業の自動化およびポリシーの管理
• 予防的メンテナンス手法の実施とネットワーク問題のトラブルシューティング

日本において開講される本講座は、以下の目的を達成します：

1. 開発者が安全なコード作成の技術を習得できるよう支援する
2. ソフトウェアテスターが実環境へ公開前にアプリケーションの安全性を検証できるよう支援する
3. ソフトウェアアーキテクトがアプリケーションに潜むリスクを理解できるよう支援する
4. チームリーダーが開発者向けのセキュリティ基準を設定できるよう支援する
5. ウェブマスターが誤ったサーバー設定を防ぐための最適な構成方法を習得できるよう支援する

本コースでは、Open Web Application Security Project（OWASP）のテスト手法を用いて、Javaにおけるセキュアコーディングの概念や原則を解説します。Open Web Application Security Projectは、ウェブアプリケーションの安全性向上に向けた記事、手法、ドキュメント、ツールおよび技術情報を無料で提供しているオンラインコミュニティです。

本コースでは、Open Web Application Security Project (OWASP) のテスト手法を通じて、ASP.NET を用いたセキュアなコーディングの概念と原則を学びます。OWASP は、Web アプリケーションセキュリティの分野で、無料で公開される記事、方法论、ドキュメント、ツール、技術を創出するオンラインコミュニティです。

このコースでは、.NET Framework のセキュリティ機能と Web アプリケーションを保護する方法を探ります。