FOR608: Resposta à incidentes de classe empresarial e busca por ameaças (36 CPEs)

O curso de Resposta à incidentes de classe empresarial e busca por ameaças detalha como identificar e responder a grandes incidentes para focar em máquinas individuais. Os conceitos são semelhantes: reunir, analisar e tomar decisões com base nas informações de centenas de máquinas. Isso requer a capacidade de automatizar e de se concentrar rapidamente nas informações certas para análise. Usando ferramentas de exemplo construídas para operar em escala de classe empresarial, os alunos aprenderão as técnicas para coletar dados específicos para resposta a incidentes e caça às ameaças. Os alunos, então, aprofundam-se nas metodologias de análise, aprendendo várias abordagens para entender o movimento e a atividade do invasor em hosts de várias funções e sistemas operacionais, usando linhas do tempo, gráficos, técnicas de análise estruturadas e não estruturadas.

TODO CONTEÚDO DO CURSO É MINISTRADO EM INGLÊS.A mídia do seu curso será entregue via download. Os arquivos de mídia para a aula podem ser grandes, alguns na faixa de 40 a 50 GB. Você precisa permitir bastante tempo para que o download seja concluído. As conexões e a velocidade da Internet variam muito e dependem de muitos fatores diferentes. Portanto, não é possível dar uma estimativa do tempo que levará para baixar seus materiais. Inicie os downloads de mídia do curso assim que receber o link. Você precisará da mídia do curso imediatamente no primeiro dia de aula. Esperar até a noite anterior ao início da aula para começar o download tem uma grande probabilidade de o failurSANS começar a fornecer materiais impressos em formato PDF. Além disso, certas classes estão usando uma pasta de trabalho eletrônica, além dos PDFs. O número de aulas usando eWorkbooks aumentará rapidamente. Neste novo ambiente, descobrimos que um segundo monitor e / ou um tablet pode ser útil, mantendo os materiais da aula visíveis enquanto o instrutor está apresentando ou enquanto você está trabalhando nos exercícios de laboratório.IMPORTANTE! TRAGA SEU PRÓPRIO SISTEMA CONFIGURADO DE ACORDO COM ESTAS INSTRUÇÕES! Um sistema devidamente configurado é necessário para participar totalmente deste curso. Esses requisitos são os mínimos obrigatórios. Se você não ler e seguir atentamente estas instruções, provavelmente deixará a classe insatisfeito porque não poderá participar dos exercícios práticos essenciais para este curso. Recomendamos que você chegue com um sistema que atenda a todos os requisitos especificados para o curso. É FUNDAMENTAL QUE VOCÊ FAÇA BACKUP DE SEU SISTEMA ANTES DA AULA. também é altamente recomendável que você não traga um sistema que armazene dados confidenciais. Requisitos do sistema hardware CPU: 64 bits Intel i5 / i7 (4ª geração+) – x64 bits 2.0+ GHz processador ou um processador mais recente é obrigatório para este curso. IMPORTANTE: um processador de 64 bits é obrigatório.É essencial que sua CPU e sistema operacional ofereçam suporte a 64 bits para que nossa máquina virtual convidada baseada em Intel de 64 bits seja executada em seu laptop. O VMware fornece uma ferramenta gratuita ou Windows que detecta se o seu host suporta ou não máquinas virtuais convidadas de 64 bits. Para solucionar problemas adicionais, este artigo também fornece boas instruções para usuários do Windows determinarem mais sobre os recursos da CPU e do sistema operacional. Para Macs, use esta página de suporte da Apple para determinar a capacidade baseada em Intel de 64 bits para o seu modelo específico.As configurações do BIOS devem ser definidas para habilitar a tecnologia de virtualização, como “Intel-VT”Esteja absolutamente certo de que você pode acessar sua BIOS se ela estiver protegida por senha, caso sejam necessárias alterações. Teste-o!32GB de RAM são altamente recomendados. 16GB (Gigabytes) de RAM é o mínimo.350GB de espaço livre – Observe que cerca de 150 GB são necessários para baiar os arquivos de evidência. Esses dados podem ser armazenados em uma unidade externaO acesso de administrador local é necessário. Isso é absolutamente necessário. Não deixe sua equipe de TI dizer o contrário. Se sua empresa não permitir esse acesso durante o curso, você deve providenciar um laptop diferente.Capacidade 802.11 sem fioRequisitos  de sistema operacional hostversão mais recente do Windows 10 ou macOS 10.15.xNota: Os sistemas Apple que usam o processador M1 não podem realizar a virtualização necessária neste momento e não podem ser usados para este curso.Instale o seguinte software antes da aulaBaixe e instale o VMware Workstation Pro 15.5.X +, VMware Player 15.5.X + ou Fusion 11.5+ em seu sistema antes do início da aula. Se você não possui uma cópia licenciada do VMware Workstation ou Fusion, pode baixar uma cópia de avaliação gratuita de 30 dias da VMware. A VMware enviará a você um número de série com limite de tempo se você se registrar para o teste em seu siteBaixe e instale 7Zip (para hosts do Windows) ou Keka (macOS)

FOR608.1: Proactive Detection and ResponseIncident Response and Threat Hunting in the EnterpriseManaging Large-Scale ResponseIntel-Driven Incident ResponseScalable & Collaborative Analysis with Timesketch FOR608.2: Scaling Response and AnalysisEDR and EDR BypassScaling Incident Response with VelociraptorScaling Analysis with ELKRapid Response Triage FOR608.3: Modern Attacks Against Windows and LinuxModern Attacks Against WindowsIntroduction to LinuxModern Attacks Against LinuxLinux DFIR FundamentalsLinux Log AnalysisLinux Triage Collection and Forensic Readiness

Inglês avançado para leitura e participação nas aulas ao vivo;O curso de Resposta à incidentes de classe empresarial e busca por ameaças é um curso de nível avançado que pula o material introdutório Windows host- and network-based forensics and incident response. Esta aula não é necessariamente mais técnica do que nossas aulas de nível 500, mas assume esse conhecimento para que os tópicos e conceitos não sejam repetidos. Os alunos devem ter vários anos de experiência DFIR e / ou ter feito aulas como: FOR500 (Análise Forense do Windows),FOR508 (Advanced Digital Forensics, Incident Response, and Threat Hunting), e / ouFOR572 (Análise forense avançada de rede: caça a ameaças, análise e resposta a incidentes).

Entender quando a resposta a incidentes requer interrogatório aprofundado do host ou coleta leve em massa Implantar plataformas de colaboração e análise que permitam as equipes trabalharem em salas, estados ou países simultaneamenteColetar dados forenses baseados em host e nuvem de grandes ambientesUsar técnicas de análise para responder aos sistemas operacionais LinuxCorrelacionar e analisar dados em vários tipos de dados e máquinas usando uma miríade de técnicas de análiseFazer análises de dados estruturados e não estruturados para identificar o comportamento do invasor.Enriquecer os dados coletados para identificar indicadores adicionais de comprometimentoDesenvolver assinaturas e análises de IOC para expandir os recursos de pesquisa e permitir a detecção rápida de incidentes semelhantes no futuroRastrear incidentes e indicadores do início ao fim usando ferramentas de engajamento de resposta a incidentes criadas especificamente para esse propósito.