オフェンシブ・セキュリティ研修
Offensive Security Training
攻撃者の手法を自ら身につけ、何が露出していて、どこが弱いのかを自分で見抜けるようにします。
ペネトレーションテスト、バグハンティング、リバーシングから組込み・産業システム、AIまで、自社の技術環境に合わせたテーマを、管理された実習環境で実際に扱います。
私たちのチームは、攻撃者の視点でシステムを見られるのか？
参加者ごとにどこまでできたかを実習記録として残し、個人とチームに合った次の段階をまとめます。
確認済み
このような状況に適しています
- 開発者に、報告書の脆弱性がなぜ危険なのかを実感してほしいとき
報告書にあるような問題を実習環境で自ら見つけると、何がなぜ危険なのかが、説明を聞くよりも早く伝わります。
- 新しいセキュリティ担当者を早く実務に就かせたいとき
新しい担当者が受け持つシステムと業務を基準に、必要なテーマだけを選んで実習で素早く身につけてもらいます。何ができるようになったかは実習記録で確かめられます。
- セキュリティチームに攻撃者の目線でシステムを見てほしいとき
自社の技術環境に合わせたテーマで、攻撃者に何が見え、どこが弱いかをチームで見抜く力を育てます。
- AIや産業システムのような新しい分野を担当することになったとき
AIサービスや工場の設備、コネクテッド機器のように新たに担当する分野で、攻撃者が何を狙うのかを、実習で先に理解しておきたい場合です。
SAFE SQUAREのアプローチ
管理された環境で思い切り
実習は実際に近づけてつくった管理された環境で行うため、参加者はさまざまな方法を試し、行き止まりも自分で経験できます。
自社の技術環境に合わせた課題
お客様が使う言語やフレームワーク、クラウドや機器に合わせて課題を準備し、実習したことをすぐ業務に移せるようにします。
技法より、見抜く目を育てます
技法を覚えさせるよりも、どの手がかりが次の手がかりにつながるかを、参加者が自ら見つけていけるようにします。
扱うテーマ
テーマは、お客様の技術環境と業務に合わせて決めます。よく扱うテーマは次のとおりです。
- ペネトレーションテスト
Web・モバイル・API・クラウド環境で実際の攻撃経路を自ら見つけ、検証します。
- バグハンティング・脆弱性発掘
未知の脆弱性を体系的に探索し、再現する方法を学びます。
- リバーシング・マルウェア解析
バイナリとマルウェアを解析し、挙動とリスクを把握します。
- IoT・組込み・ファームウェア
機器のファームウェアとハードウェアインターフェースの弱点を扱います。
- ICS・OT・SCADAセキュリティ
産業制御システムの構造と攻撃対象領域を理解します。
- AI・LLMレッドチーム
モデルやAIサービスの悪用、安全対策の回避、データのリスクを実習で扱います。
レベルと形式
セキュリティ担当者、開発者、入門者まで、それぞれのレベルから始め、目標に合った形式で進めます。期間・人数・難易度は、対象と目標に合わせてご相談しながら決めます。
- ワークショップ
特定のテーマを集中的に扱う短期セッション
- ブートキャンプ
複数のテーマを順に学ぶ没入型のコース
- 1対1の深掘り
個人の目標に合わせた密着指導
- チームコース
チーム全体のレベルを一緒に引き上げるコース
進め方
目標・レベルの合意
参加対象とレベル、修了後にできるようになるべきことを決め、技術環境に合わせてテーマと形式を選びます。
実習環境の準備
お客様の技術環境に合わせた課題と、管理された実習環境を準備します。
研修・実習
実際の事例を扱った後、参加者が自ら実習し、行き詰まった箇所は講師と一緒に解いていきます。
振り返り・とりまとめ
実習ごとに良かった点と補うべき点を一緒に振り返り、実習記録と次のステップの提案をまとめます。
お客様に残る成果
次の学びにつながるよう、記録と次の段階を残します。
実習記録
何を扱い、どこまでできたかを個人とチーム単位で残します。
専門家によるデブリーフィング
攻撃者とセキュリティ専門家の視点から、良かった点と補うべき点を整理します。
次のステップの提案
個人とチームに合った次の研修・訓練の段階を提案します。
開発チーム向けWeb・APIワークショップ（2日間）
参加：バックエンド開発者8名・課題：自社と同じフレームワークでつくった実習用サービス
| テーマ | 結果 | 記録 |
|---|---|---|
| ログインとセッション管理 | 達成 | 8名全員が弱点を見つけ、何がなぜ危険かを説明しました。 |
| ユーザーごとの権限確認 | 達成 | 6名は自力で見つけ、2名はヒントを受けて見つけました。 |
| ファイルアップロードの処理 | 一部 | 弱点は見つけましたが、実際の影響まではつなげられませんでした。 |
| 外部サービス連携 | 未達 | 時間内に終えた人がおらず、次のコースで改めて扱います。 |
- デブリーフィング
- 権限確認の問題は、実際のコードレビューですぐ使えるほど理解できました。アップロードと外部連携は、原理をさらに固める必要があります。
- 次の段階
- アップロードと外部連携を扱う1日のワークショップを続けて開き、チームリーダー2名は1対1の深掘りでコードレビューの視点を固めます。