FOR608: Resposta à incidentes de classe empresarial e busca por ameaças (18 CPEs)
Home / Cursos / SANS / FOR608: Resposta à incidentes de classe empresarial e busca por ameaças (18 CPEs)
O curso de Resposta à incidentes de classe empresarial e busca por ameaças é concentrado no desenvolvimento de habilidades e técnicas necessárias para responder a invasões em grande escala de diversas redes empresariais.
O curso de Resposta à incidentes de classe empresarial e busca por ameaças detalha como identificar e responder a grandes incidentes para focar em máquinas individuais. Os conceitos são semelhantes: reunir, analisar e tomar decisões com base nas informações de centenas de máquinas. Isso requer a capacidade de automatizar e de se concentrar rapidamente nas informações certas para análise. Usando ferramentas de exemplo construídas para operar em escala de classe empresarial, os alunos aprenderão as técnicas para coletar dados específicos para resposta a incidentes e caça às ameaças. Os alunos, então, aprofundam-se nas metodologias de análise, aprendendo várias abordagens para entender o movimento e a atividade do invasor em hosts de várias funções e sistemas operacionais, usando linhas do tempo, gráficos, técnicas de análise estruturadas e não estruturadas.
A mídia do seu curso será entregue via download. Os arquivos de mídia para a aula podem ser grandes, alguns na faixa de 40 a 50 GB. Você precisa permitir bastante tempo para que o download seja concluído. As conexões e a velocidade da Internet variam muito e dependem de muitos fatores diferentes. Portanto, não é possível dar uma estimativa do tempo que levará para baixar seus materiais. Inicie os downloads de mídia do curso assim que receber o link.
Você precisará da mídia do curso imediatamente no primeiro dia de aula.
Esperar até a noite anterior ao início da aula para começar o download tem uma grande probabilidade de o failurSANS começar a fornecer materiais impressos em formato PDF. Além disso, certas classes estão usando uma pasta de trabalho eletrônica, além dos PDFs. O número de aulas usando eWorkbooks aumentará rapidamente. Neste novo ambiente, descobrimos que um segundo monitor e / ou um tablet pode ser útil, mantendo os materiais da aula visíveis enquanto o instrutor está apresentando ou enquanto você está trabalhando nos exercícios de laboratório.
CPU: 64 bits Intel i5 / i7 (4ª geração+) – x64 bits 2.0+ GHz processador ou um processador mais recente é obrigatório para este curso. IMPORTANTE: um processador de 64 bits é obrigatório.
É essencial que sua CPU e sistema operacional ofereçam suporte a 64 bits para que nossa máquina virtual convidada baseada em Intel de 64 bits seja executada em seu laptop. O VMware fornece uma ferramenta gratuita ou Windows que detecta se o seu host suporta ou não máquinas virtuais convidadas de 64 bits. Para solucionar problemas adicionais, este artigo também fornece boas instruções para usuários do Windows determinarem mais sobre os recursos da CPU e do sistema operacional. Para Macs, use esta página de suporte da Apple para determinar a capacidade baseada em Intel de 64 bits para o seu modelo específico.
As configurações do BIOS devem ser definidas para habilitar a tecnologia de virtualização, como "Intel-VT"
Esteja absolutamente certo de que você pode acessar sua BIOS se ela estiver protegida por senha, caso sejam necessárias alterações. Teste-o!
32GB de RAM são altamente recomendados. 16GB (Gigabytes) de RAM é o mínimo.
350GB de espaço livre – Observe que cerca de 150 GB são necessários para baiar os arquivos de evidência. Esses dados podem ser armazenados em uma unidade externa
O acesso de administrador local é necessário. Isso é absolutamente necessário. Não deixe sua equipe de TI dizer o contrário. Se sua empresa não permitir esse acesso durante o curso, você deve providenciar um laptop diferente.
Capacidade 802.11 sem fio
Requisitos de sistema operacional host
versão mais recente do Windows 10 ou macOS 10.15.x
Nota: Os sistemas Apple que usam o processador M1 não podem realizar a virtualização necessária neste momento e não podem ser usados para este curso.
Instale o seguinte software antes da aula
Baixe e instale o VMware Workstation Pro 15.5.X +, VMware Player 15.5.X + ou Fusion 11.5+ em seu sistema antes do início da aula. Se você não possui uma cópia licenciada do VMware Workstation ou Fusion, pode baixar uma cópia de avaliação gratuita de 30 dias da VMware. A VMware enviará a você um número de série com limite de tempo se você se registrar para o teste em seu site
Baixe e instale 7Zip (para hosts do Windows) ou Keka (macOS)
O curso de Resposta à incidentes de classe empresarial e busca por ameaças é um curso de nível avançado que pula o material introdutório Windows host- and network-based forensics and incident response. Esta aula não é necessariamente mais técnica do que nossas aulas de nível 500, mas assume esse conhecimento para que os tópicos e conceitos não sejam repetidos.
Os alunos devem ter vários anos de experiência DFIR e / ou ter feito aulas como:
FOR500 (Análise Forense do Windows),
FOR508 (Advanced Digital Forensics, Incident Response, and Threat Hunting), e / ou
FOR572 (Análise forense avançada de rede: caça a ameaças, análise e resposta a incidentes).
Entender quando a resposta a incidentes requer interrogatório aprofundado do host ou coleta leve em massa
Implantar plataformas de colaboração e análise que permitam as equipes trabalharem em salas, estados ou países simultaneamente
Coletar dados forenses baseados em host e nuvem de grandes ambientes
Usar técnicas de análise para responder aos sistemas operacionais Linux
Correlacionar e analisar dados em vários tipos de dados e máquinas usando uma miríade de técnicas de análise
Fazer análises de dados estruturados e não estruturados para identificar o comportamento do invasor.
Enriquecer os dados coletados para identificar indicadores adicionais de comprometimento
Desenvolver assinaturas e análises de IOC para expandir os recursos de pesquisa e permitir a detecção rápida de incidentes semelhantes no futuro
Rastrear incidentes e indicadores do início ao fim usando ferramentas de engajamento de resposta a incidentes criadas especificamente para esse propósito.