FOR608の講習と、GEIRの試験を受けて合格してきたのでその記録となります。いい 30 歳の幕開けになりました👒
GEIRとは
米国のSANS Instituteが運営するサイバーセキュリティ分野に特化した国際的な認定資格であるGIAC（Global Information Assurance Certification）の一つです。 正式名称は GIAC Enterprise Incident Response (GEIR) で、関連トレーニングのFOR608を受講し、試験に合格することによって大企業でのインシデントレスポンスや脅威ハンティングについて一定の知識が習得できていることが見込まれます。
章立ては以下の通りです。
- モダンな攻撃の検知
- エンタープライズにおける可視性とスコープ特定
- エンタープライズ・インシデント対応管理
- 大規模環境における迅速なトリアージ
- Linuxの基礎知識
- Linux DFIRの基礎
- macOSの基礎知識
- macOS DFIRの基礎
- コンテナDFIRの基礎
- クラウドの基本概念
- クラウドにおける対応と分析
ここでいうクラウドは Microsoft Azure と Amazon Web Services を指しています。勝手に Google Cloud も入っているものとトレーニング初日まで勘違いしていたので、セルフ肩透かしを食らいました。
筆者のスキルと受けた理由
前職 (日本) でありがたいことに GCFA (GIAC Certified Forensic Analyst) を受講/受験させてもらったため、今回は2回目の GIAC 試験になります。
そのほかのセキュリティ関連の資格として、CISSP, CISA, SC-100, AWS SSA, AWS SCSを持っています。
現在勤務するヨーロッパの現地企業では年に 1 回 SANS トレーニングが受講させてもらえるということで、本当は GREM というマルウェア解析のやつを受けたかったのですが、業務との関連性があまり高くないため見送りました。
前回日本でSANSトレーニングを受けた際には日本語への同時通訳がついており、そのため先生がゆっくり話してくれたましたが、それでも英語と技術の両面からかなり苦労した記憶があります。
今回は英語を仕事で使っている人として参加するため、講師から言語的に手加減してもらえることはもちろん期待できません。といったような状況を加味して、業務と関連性が低い GIAC 試験にゴリ押しで挑んで落ちるよりは、会社の意向に沿うものからとってみようかなという計算によってこのコースを選びました。
(できれば来年は GREM を受けたいと思っています🫠)
FOR608 トレーニングについて
日本では体験できなかったのですが、一般的な SANS イベントにバンドルされる形で提供される SANS トレーニングは複数のトレーニングが同じ建物で同時開催され、食べ物やおやつなども支給されました。
ご飯が出るということは、ご飯の時間はカフェテリアに行き、誰かと食事を共にすることになります。
同じトレーニングを受けにきている人や、ほかのトレーニングを受けにきた人と会話するいい機会になりました。
あと、ご飯がちゃんとおいしかったです！ (ロンドンなのに！！)
私はイギリスのロンドンで開催されたイベントに参加したので、講師がものすごくブリティッシュアクセントだったらどうしようと、当日まで心配していたのですが、普通にアメリカから来た先生だったので聞き取りやすかったです。
会場では GIAC Cyber Threat Intelligence (GCTI) に紐づくFOR578 のトレーニングが最も人気で、脅威インテリジェンスのトレンドの高まりを身をもって感じました。
最終日の CTF イベントでは無事にチャレンジコインをゲットすることができ、来た甲斐があったぜ😎という気持ちになりました。
ちょうどこのトレーニングのタイミングと会社の年次評価のタイミングがだだ被りで、朝から夕方まではトレーニング、夜は仕事、みたいな生活をホテルから送らねばならず、ちょっとしたトラウマになりました。
チャレンジコインはもらえるとやっぱり嬉しいので、次回以降のトレーニングもできれば現地で参加したいなと思いました。自分がオンライントレーニングに集中できないタイプというのもありますが😂
勉強方法
ちょうどトレーニングを受けた 1 ヶ月後に 1 週間弱の旅行を予定していたため、なんとしてもそれまでに試験を受け終わりたいという気持ちがあり、けっこう詰め詰めで準備しました。
| # | やったこと | |
|---|---|---|
| W1 | Book 1,2 を読みながらチートシートを作る (ラボも同時並行) | |
| W2 | Book 2,3 を読みながらチートシートを作る (同上) | |
| W3 | Book 4,5 を読みながらチートシートを作る (同上) | |
| W4 | 模擬試験を2回受ける、チートシートのアップデート、ラボをもう 1 ~ 2 回やる |
前回はテキストを一度通し読みしてから、もう一度読み直してチートシートを作っていたのですが、テキストを 2 回読むよりもテキストを元に作ったチートシートを繰り返し読んでテキストを振り返った方が学習効率が高いと思い、初回の通し読みからチートシートを作成しました。
全部の情報を一つのチートシートにまとめるのではなく、以下のように目的別にいくつか作りました。
- テキスト全体の語彙 (ページ順と ABC 順の両方を準備する)
- テキストに出てくるコマンドとその目的
- テキストに出てくる特定ツールとそのツールのモジュール、目的
- ラボのコマンドとその目的
- macOS のディレクトリ構造とその説明
- Linux のディレクトリ構造とその説明
- 一般的な Windows フォレンジックでよく使われるレジストリとファイルパス
- Windows Event Log 一覧
個人的にテキスト全体の語彙シートをページ順と ABC 順の両方を準備しておくのはかなり有効で、特定の知識に関する質問があったときに、覚えていない場合はそれがどのテキストにあったのかを ABC 順の方で引いてから、ページ順の方に戻って周囲のコンテキストも確認できるのでミスを減らせると思います。
また、チートシートにまとめるより直接参照したほうが早い場所や、ラボの各セクションの開始位置などには付箋を貼るようにしました。
紙の付箋は強度が足りないので、いつもフィルムタイプの付箋を使っているのですが、この超ニッチな製品がさすがに今住んでる国では売っていなさそうだったので、ナイスタイミングに一時帰国されていた日本人の友人夫妻にフィルム付箋とそれに書き込む用のマッキーを買ってきてもらいました。
付箋のこだわりに加えて、マーカーについてもどうしてもマイルドライナーという製品が使いたいと思っていたのですが、手元になく焦りました。。これはかろうじて Amazon で購入できました。(ただし €13 します。日本なら550円なので…計算はやめましょう)
こういうちょっとしたものがない時に、日本が恋しくなります。
全体的な所感として、GEIR の内容が GCFA に比較して自分にとって目新しいものが少なかったこともあると思いますが、GCFA のときより全然大変じゃなかったという印象でした。
また GCFA を受験した 3 年前と比較して、 1 年英語を使って仕事をしてからの受験だったため、普段仕事で結構なプレッシャーの中すばやく正確に複雑な英語を読まないといけないのに比べると、テキストの英語を読むのは、時間制限もなく、言葉もかなり平易かつ構造的にわかりやすく書かれているのであまり苦ではなかったです。
自分の英語が上達した実感というのは全くなかったのですが、読むスピードや心理的負荷が大きく違っていることに今回の試験準備中に気づました。
全然関係ないですが、英語がネイティブじゃない私にも、ここは AI に書かせているなと感じるページがちょくちょくあり、AI以前と以後の変化がこんなところに…と切なくなりました。
Windows, Linux , Docker, Microsoft や AWS についてはどちらも実務で使ったことがあるため、macOS やそのほか目新しいツールについて重点的に復習するようにしました。どのセクションについてもさらっとさらう、という感じで深く入り込んでいる感じではなかったです。
W4 の初めに受けたオンライン模擬試験が 88% だったため、それが心理的に追い風になりその週末に受けることにしました。前回は初回のオンライン模擬試験が 49% とかで絶望していたので、オンライン模擬試験が極端に簡単に設定されていないか不安でした。
試験当日
オンライン模擬試験とほぼ同じ難易度か、CyberLive については少し優しいんじゃないかと思うような内容でした。
テキストをよく熟読していれば、一問一答な感じで答えられると思います。1時間半くらいで解き終わって 92% だったので、試験の難易度もあると思いますが自分の成長をすごく感じました！
CyberLive が多分全問正解できてたみたいで、気持ちよかったです。
最後に
実は試験を受ける週の初めから鼻詰まりがすごくて毎晩 2 時くらいに目が覚めて 6 時くらいまで虚無な気持ちで過ごしていました。
自分もついに 30 代の仲間入りを果たして、ちょっとしたことでも風邪をひきやすくなってしまったのか、と落ち込んでいました。しかし、金曜日に鼻詰まりと眩暈すごいから家帰って残りの仕事するわ、とチームのメンバーに言ったら、隣のメンバーが自分も先週同じ症状で新タイプのコロナだったと思う、といったようなことを言われ、普通にコロナっぽい流行りかぜが鼻詰まりでギリすんでいたのに気づかず過ごしていただけということに気づきました。
今年は出張が多く、いろんなところでいろんな風邪をもらってきているので、残り半年は健康に過ごしたいなと祈っています😇