脅威インテリジェンス育成コース

講座の教育目的

組織の脅威インテリジェンス体制を構築・運用できる人材を育成することを目的とし、情報収集 → 分析 → 可視化 → レポート化 → 改善・発信 の全プロセスを12か月を通じて体系的に習得する。

受講者は最終的に、技術的分析力・戦略的判断力・レポート作成力・情報共有力 を兼ね備えた“脅威インテリジェンス・プロフェッショナル”としてのスキルを身につける。

最終成果物

• 自社業界向け脅威分析レポート（3〜5ページ、BLUF構成）
• MISP／Recorded Future／HoneyPotを活用した分析環境構築ドキュメント
• IoC／TTP／ルールセット（YARA／Snort／Sigma）一覧
• 脅威インテリジェンス運用ロードマップ（1年計画）

最終到達像

• 情報収集力：OSINT／API連携／自動化スクリプトを活用し、最新脅威情報を収集できる。
• 分析力：脅威アクター・TTP・脆弱性・地政学リスクを多面的に評価できる。
• 技術力：MISP／OpenCTI／Recorded Future／T-Potなどの実運用が可能。
• 報告力：BLUF／So Whatモデルに基づくわかりやすい報告書を作成できる。
• 戦略思考：組織課題と脅威トレンドを関連付け、改善施策を提案できる。
• 自走力：継続的に新ツール・新手法を取り込み、自立的に分析できる。

第1章 インテリジェンスと脅威インテリジェンスの基礎

• インテリジェンスの種類（HUMINT／SIGINT／OSINT）
• インテリジェンスサイクルの理解
• 脅威インテリジェンスの構成（戦略／戦術／運用／技術）
• OSINT（Open Source Intelligence）の概要と活用
• AIとOSINTの連携
• 〖演習①：オープンソース情報を用いた脅威要素抽出〗

第2章 脅威分析のフレームワークとモデル

• IoCとTTPの基礎概念
• MITRE ATT&CKマトリクスの構造と使い方
• LockBit3.0を題材としたケース分析
• ダイヤモンドモデルによるアクター分析
• LockBit3.0を題材としたケース分析
• 〖演習②：MITRE ATT&CK Navigatorを用いた攻撃マッピング〗
• 〖演習③：Diamond Modelを使ったアクタープロファイリング〗

第3章 脆弱性情報とOSINTの活用

• SCAP構成要素（CVE／CVSS／CWE／CPE／CCE／XCCDF／OVAL）
• CVSS v3.1／v4.0評価法
• NVD API・CISA KEVカタログ活用
• 〖演習④：CVE情報のAPI取得と分析〗
• 〖演習⑤：CVSS評価を用いたリスク優先度決定〗

第4章 OSINTと脅威情報の統合活用

• 主要OSINTサイト（CISA, Unit42, BleepingComputer等）
• OSINT Framework／OSINT Linksの使い方
• DarkWeb／SNS（X/Twitter）モニタリング
• Recorded Futureの概要
• 〖演習⑥：Log4j脆弱性を題材にしたOSINT調査〗

第5章 脅威情報の可視化とレポート作成

• MISP／OpenCTIの基本概念
• RecordedFutureによる脅威アクター分析
• 脅威インテリジェンスレポート構成と要点
• BLUF手法の応用
• 〖演習⑦：MISPまたはOpenCTIのデータ分析可視化〗
• 〖演習⑧：脅威レポート作成（BLUF構成）〗

「基礎知識篇①」の学習目標

• 脅威インテリジェンスの概念と種類を体系的に理解する
• Kill Chain・ATT&CK・Diamond Modelを使いこなす
• CVE／CVSSなどの脆弱性標準情報を理解・応用できる
• OSINT・自動化ツールを組み合わせた分析ができる
• レポートとして成果をまとめ、説明できる

第1章 OSINT基礎と情報可視化ツールの活用

• インテリジェンスとは（HUMINT／SIGINT／OSINT）
• 脅威インテリジェンスの定義と構成
• OSINTデータソース（Shodan／ZoomEye／ShadowServer／URLScan／VirusTotal）
• AIとOSINTの関係
• 脅威インテリジェンスの定義と構成
• 〖演習①：Shodan／ZoomEye／ShadowServerでの検索体験〗
• 〖演習②：URLScan.io・VirusTotalを用いたスキャン・分析〗

第2章 脆弱性・エクスプロイト情報と脅威情報可視化

• Have I Been Pwnedによる漏洩確認
• Zero-day Vulnerability DatabaseとZDIの利用
• Exploit-DB／GitHubによるエクスプロイト情報検索
• MISPの概要とSTIX形式
• OpenCTIの仕組みと脅威データ統合
• 〖演習③：ZDI・ExploitDBを使った脆弱性検索〗
• 〖演習④：OpenCTIでランサムウェア／脆弱性情報を調査〗

第3章 レポート作成と脅威インテリジェンス活用

• レポートの基本構成（目的／読者想定／5W1H）
• BLUF／What–SoWhat–NowWhat／3C原則
• 報告構造（一次／二次報告）
• 可視化資料（図表・グラフ）の活用
• 〖演習⑤：KADOKAWA事例を題材にレポート作成（技術報告・経営報告の2種）〗

「基礎知識篇②」の学習目標

• OSINTツールを活用して脅威情報を収集・評価できる
• 脆弱性・エクスプロイト情報を多面的に分析できる
• MISP／OpenCTIを用いた脅威情報共有基盤を理解できる
• BLUF構成を活用し、わかりやすいレポートを作成できる

使用ツール

• Shodan、ZoomEye、ShadowServer、URLScan.io、VirusTotal、MISP、OpenCTI

第1章 脅威動向とレポート作成基礎（Part2）

• インテリジェンスの分類（HUMINT／SIGINT／OSINT）
• 脅威インテリジェンスの定義と分類
• 主要フレームワーク（IoC／TTP／Kill Chain／MITRE ATT&CK／Diamond Model）
• SCAP／CVE／CISAの基礎
• RecordedFutureによる情報収集とAI連携
• 脅威レポート構成（BLUF／5W1H／What–SoWhat–NowWhat）
• 〖演習①：各社脅威レポート分析（2024年比較）〗
• 〖演習②：CISO向けレポートドラフト作成〗

第2章 MISPのインストールと活用

• MISP概要と情報共有モデル（STIX／TAXII）
• Ubuntu環境へのインストール手順
• Apache／SSL設定（certbot）
• ユーザ／組織設定
• Feedsの設定・有効化・ジョブ管理
• 相関分析（IOC・イベント）
• CIRCL公開MISPの参照
• 〖演習③：MISPインストール・Feed登録〗
• 〖演習④：脅威情報イベントの相関分析〗

第3章 レポート修正と発表

• レポート作成の基本構成再確認
• BLUF／What–SoWhat–NowWhatモデル
• 図表・グラフによる情報可視化
• 一次／二次報告構成
• フィードバック反映と最終仕上げ
• 〖演習⑤：レポート最終修正（CISO報告形式）〗
• 〖演習⑥：プレゼンテーション発表〗

「脅威インテリジェンスの活用・報告書作成」の学習目標

• 脅威インテリジェンスの基礎と実践手法を体系的に理解する
• MISPを構築・運用し、脅威情報を共有・分析できる
• BLUF構成によるレポートを作成・発表できる

使用ツール

• MISP、RecordedFuture、MITRE ATT&CK Navigator、CVE／NVD、CISA KEV、OSINT Framework

第1章 Recorded Futureによる脅威インテリジェンスの基礎

• インテリジェンスの定義と分類（HUMINT／SIGINT／OSINT）
• OSINTとAIの連携
• 主要フレームワーク（Kill Chain／ATT&CK／Diamond Model）
• Recorded Future概要とエンティティ構造
• リスクスコア算出とインテリジェンスカード
• CVE実例分析（CVE-2024-6387 等）
• LockBit／BlackSuit／Log4jなどの検索・比較
• 〖演習①：Recorded Futureでの基本検索〗

第2章 Advanced Query Builderの活用

• AQBの構成とクエリ構文（Involving／Event Type／Time）
• 検索条件の組み合わせ（AND／OR）
• Sources／Source Type／Geofence設定
• 可視化（Timeline／Map）と出力形式
• データ精度と分析視点
• KADOKAWA／dwango関連脅威情報の調査
• LockBit／BlackSuit関連の検索クエリ構築
• 〖演習②：Recorded Futureでクエリ作成〗

第3章 Recorded Future応用操作と分析演習

• Event Type別検索（Cyber Attack／Vulnerability／Credential Leak 等）
• Sandbox／Timeline／Map分析の応用
• 攻撃アクター／対象業種／国別傾向の可視化
• Lists機能による監視リスト作成
• レポート構成（BLUF・5W1H）
• 〖演習③：Timeline・Map分析による脅威傾向の可視化〗
• 〖演習④：Recorded Futureを活用したレポートドラフト作成〗

学習目標

• Recorded Futureを活用して脅威情報を収集・分析できる
• AQBを用いて高度な脅威検索クエリを構築できる
• TimelineやMapを用いて攻撃傾向を可視化できる
• BLUF構成を用いた脅威レポートを作成・発表できる

使用ツール

• Recorded Future、MISP、OpenCTI、urlscan.io、VirusTotal

第1章 脅威情報収集の基礎とインテリジェンスサイクルの理解

• インテリジェンスの基礎とサイクル（Plan／Collect／Process／Analyze／Disseminate）
• 脅威情報の分類と目的
• 脅威アクター／被害者情報の収集手法
• 主要情報源（BleepingComputer, CISA, AlienVault, ransomware.live）
• jqコマンドによるJSON解析とAPI連携
• 〖演習①：脅威アクター情報収集と分類〗
• 〖演習②：CVE／Victim情報をAPIから取得・整形〗

第2章 脆弱性情報の収集と自動化

• 脆弱性情報の種類と特徴（公開前情報／公開後情報）
• CVE／NVD／CISAの関係と構造
• CVE.org APIとNVD APIの利用方法
• GitHub cvelistV5の活用
• CISA ADP（vulnrichment）情報の活用
• APIキー取得・認証設定
• 〖演習③：curl＋jqでCVE情報を取得〗
• 〖演習④：GitHub上のCVEデータを自動抽出〗
• 〖演習⑤：CISA ADP情報の差分分析〗

第3章 収集データの活用と自動化・最適化

• SSVC（Stakeholder-Specific Vulnerability Categorization）の理解
• CVSSとの比較と活用
• 自動化の仕組み（メール通知・Slack連携）
• ransomware.live／CISA APIの活用事例
• 脅威情報を用いた組織内レポート作成
• 〖演習⑥：自社業種を想定した脅威分析〗
• 〖演習⑦：自動通知スクリプト構築（Slack／メール）〗
• 〖演習⑧：最終レポート作成（SSVC適用）〗

「脅威情報の取得」の学習目標

• 脅威情報収集の全体像を理解する
• API連携により脅威情報を自動取得できる
• SSVC／CVSSを活用して優先度評価ができる
• 組織向け脅威分析レポートを作成・報告できる

使用ツール

• jq、curl、CVE.org API、NVD API、CISA ADP、ransomware.live、OpenCTI、AlienVault

第1章 脅威ハンティングの基礎とアプローチ理解

• 脅威ハンティングの目的と役割
• SOC／SIEMとの違い（受動的防御から能動的防御へ）
• Hunting Maturity Model（HM0〜HM4）
• ハンティングループ（仮説→収集→分析→改善）
• 主なアプローチ（Anomaly-Based／Hypothesis-Driven／AI支援型）
• ハンティングフレームワーク（PEAK／ABLE）
• 〖演習①：仮説ドリブン・ハンティング設計ワーク〗
• （例：RansomHub攻撃を想定した仮説立案）

第2章 検知技術とルール設計によるハンティング実践

• IoC／TTPの定義と活用
• 主要公開情報（CISA／FBI／ransomware.live）
• YARAルールによるファイル検知（構文・演習）
• Snortルールによるネットワーク検知（local.rules編集）
• SigmaルールによるSIEMクエリ変換
• ルール運用の自動化・相関分析
• 〖演習②：YARAルール作成とファイル検知〗
• 〖演習③：Snortルールによる通信検出〗
• 〖演習④：SigmaルールをElastic／Splunk向けに変換〗

第3章 総合演習：脅威ハンティングの実践と報告

• 脅威ハンティング演習環境の確認
• 仮説に基づくデータ収集と相関分析
• 複数ルールの連携による検出精度向上
• 発見結果の可視化と報告書構成（BLUF形式）
• インシデントレスポンスとの連携ポイント
• 〖演習⑤：総合演習（IoC＋ルール連携シナリオ）〗
• 〖演習⑥：ハンティングレポート作成（仮説→結果→示唆）〗

「脅威ハンティング」の学習目標

• 脅威ハンティングの目的・手法・成熟度モデルを理解する
• IoC／TTPを用いて能動的な脅威検知を実施できる
• 各検知ルール（YARA／Snort／Sigma）を作成・検証できる
• ハンティング結果をレポートとして報告できる

使用ツール

• YARA、Snort、Sigma、ElasticSearch、Splunk、Uncoder.io

第1章 Recorded Futureによる調査復習と脅威ハンティング入門

• Recorded Futureの主要機能（Intelligence Card／Entity／リスクスコア）
• CVE／IP／Domainを用いた実践分析（例：CVE-2025-30154）
• Advanced Query Builderの基礎と構造
• 仮説ドリブンハンティング（ABLE／PEAKモデル）
• 〖演習①：Recorded Futureによる脆弱性検索（CVE・Domain分析）〗
• 〖演習②：AQBを用いた期間別攻撃分析（1日／1年単位）〗
• 〖演習③：金融業界向けアクター抽出とリスト作成〗

第2章 Recorded Futureによる高度分析と脆弱性ハンティング

• 仮説ドリブンハンティングの実践（Prepare〜Act）
• 複数製品を対象とした脅威アクター比較
• Entity Listを活用した業界別・製品別分析
• Insikt GroupによるHunting Packageの活用（Snort／YARA／Sigma）
• Watch List設定と運用
• 〖演習④：製品別アクター分析（Fortinet／VMware／Cisco）〗
• 〖演習⑤：共通アクターのHunting Package分析〗
• 〖演習⑥：自社Watch Listの登録〗

第3章 Recorded Future応用操作とSandbox実践

• Threat Actor Mapによる意図分析（Intent／Opportunity）
• Change Over Timeによる傾向変化分析
• Sandbox（tria.ge）を用いたURL／マルウェア解析
• 脅威レポート作成（BLUF／SoWhat／NowWhat 構成）
• 〖演習⑦：Threat Actor Mapによる攻撃傾向の分析〗
• 〖演習⑧：Sandbox実習（URL解析）〗
• 〖演習⑨：総合演習：Recorded Futureでの分析結果をもとにレポート作成〗

「Recorded Futureを用いた脅威ハンティング」の学習目標

• Recorded Futureの高度検索機能（AQB／Entity List／Map）を使いこなす
• 複数条件での脅威アクター分析と比較を実施できる
• Sandboxを活用し、マルウェア・URL解析ができる
• 分析結果をBLUF形式で整理し、レポートとして発表できる

使用ツール

• Recorded Future、Advanced Query Builder、Entity List、Hunting Package、Sandbox（tria.ge）

第1章 イントロダクション

• コース概要と目的
• 地政学とサイバーの関係性
• 現代のサイバー脅威構造

第2章 地政学の基礎と国家戦略

• 地政学とは何か
• 国家安全保障とサイバー領域の融合
• サイバー攻撃の分類と目的
• 〖グループワーク：各国のサイバー戦略事例調査〗

第3章 主要国家のサイバー活動と脅威アクター分析（I）

• 米国／ロシア／中国／北朝鮮／イランの戦略と狙い
• 代表的な脅威アクター一覧（APT29, APT28, Lazarusなど）
• 〖演習① 各国アクターの特徴整理シート作成〗

第4章 主要国家の脅威アクター分析（II）

• APTごとの手法（TTP）・MITRE ATT&CK分析
• APT29／APT28／Sandworm／Turlaの事例
• 〖演習② MITRE ATT&CKでAPT29のTTPを特定〗

第5章 国家支援型サイバー攻撃のケーススタディ

• ロシアのハイブリッド戦（ウクライナ侵攻）
• 台湾有事と情報操作戦
• 認知戦の展開
• 〖演習③ ケース分析：情報操作の目的と影響を議論〗

第6章 AI/LLM活用による脅威分析の自動化

• ChatGPTの特徴と活用例
• NotebookLMによる資料要約・構造化
• AIの限界（ハルシネーション対策）
• 〖演習④ ChatGPTでAPT29のYARAルール生成〗
• 〖演習⑤ NotebookLMで脅威情報を要約〗

第7章 ChatGPT × NotebookLM連携実践

• ChatGPTでIoC/TTP収集 → NotebookLMで分析・要約
• YARAルール生成から検証までの流れ
• 〖演習⑥ ChatGPTでAPT29の最新IoC収集＋NotebookLMで分析〗

第8章 AIによるレポート作成と検証

• 出典確認・検証プロセス
• 誤情報（ハルシネーション）の見抜き方
• 演習⑦ ChatGPT出力の信頼性評価ワーク

第9章 総合演習・レポート作成

• APT29／Lazarusなどの脅威分析統合
• 地政学とサイバーの関係性
• 現代のサイバー脅威構造

第10章 まとめとQ&A

• 全体振り返り
• AI活用と地政学分析の融合的運用

「地政学のインテリジェンスとAI活用」の学習目標

• 地政学的視点でサイバー脅威を分析できる
• 各国APTの特徴・TTPを説明できる
• ChatGPT／NotebookLMを活用し、脅威分析を自動化できる
• AIを利用したレポート作成と検証が行える

使用ツール

• Recorded Future、ChatGPT、NotebookLM、MITRE ATT&CK Navigator

第1章 イントロダクション

• コースの全体概要
• 国家間サイバー脅威の現状
• AIを用いた分析の目的

第2章 サイバー攻撃の目的と地政学的背景

• サイバー攻撃の目的分類（軍事・金銭・スパイ・情報操作）
• 地政学的事件とサイバー脅威の関係性
• 〖ケーススタディ：南シナ海・台湾情勢に関連する攻撃分析〗

第3章 各国のサイバー攻撃事例と情報操作

• ロシア：中国：北朝鮮：イランの事例比較
• ソーシャルメディア操作・偽情報拡散の実例
• 〖演習① 各国のサイバー行動と目的を整理〗

第4章 中国の脅威アクター動向（Ⅰ）

• RedGolf、APT19、RedDelta、HAFNIUM等の特徴
• 中国のサイバー作戦と南シナ海活動の関連
• 〖演習② Recorded Futureで中国APTの活動可視化〗

第5章 中国の脅威アクター動向（Ⅱ）

• Volt Typhoon／Salt Typhoon／Silk Typhoonの詳細分析
• Living off the Land (LotL)攻撃の特徴
• CISA／FBIの報告分析
• 演習③ Volt Typhoonの攻撃手法と防御策の整理

第6章 脆弱性動向と新指標LEVの理解

• LEVとは何か（EPSS／KEVとの違い）
• LEV／LEV2計算式と応用例
• EUVD／Vulnerability-Lookupの紹介
• 〖演習④ Vulnerability-Lookup APIでCVE情報取得〗

第7章 脆弱性情報プラットフォームの活用

• Vulncheck KEV／XDBの概要と利用
• PoC（Exploit）管理上の注意点
• 〖演習⑤ Vulncheck KEVで最新脆弱性を検索〗
• 〖演習⑥ XDBでPoCを抽出（安全環境で確認）〗

第8章 AIツールによる脅威分析（NotebookLM実践）

• NotebookLMの概要と機能
• 複数ソースからの要約・抽出・IoC整理
• 〖演習⑦ Volt TyphoonをNotebookLMで分析しTTP/Ioc抽出〗

第9章 AI×NotebookLM連携応用演習

• ChatGPT＋NotebookLMの連携
• IoC→YARA／Snortルール自動生成
• 〖演習⑧ Salt Typhoon／Silk Typhoonのレポート自動生成〗

第10章 総合演習・まとめ

• 各APTの活動比較・分析結果統合
• AIによる自動レポート化・報告
• 〖総合演習⑨ 各自テーマを設定しAIレポート作成〗

「地政学インテリジェンス応用・AI応用・脆弱性動向」の学習目標

• 中国系APTを中心とした国家支援型攻撃の構造を理解する
• LEVなどの新指標を使って脆弱性を評価・優先付けできる
• NotebookLM／ChatGPTを使った脅威分析・レポート自動化を実践できる
• AIによる出力の検証・正確性評価を行える

使用ツール

• Recorded Future（脅威情報分析）
• ChatGPT／NotebookLM（AI分析・要約・レポート）
• Vulncheck KEV／XDB／CIRCL Lookup（脆弱性情報収集）

第1章 イントロダクション

• コース概要と目的
• 脅威インテリジェンスにおけるレポートの役割
• 学習到達目標の確認

第2章 レポート作成の基本概念

• 「目的」と「読者層」の整理
• 技術者／経営層／顧客別の伝え方
• レポートに必要なキーワード選定
• 〖ミニ演習：想定読者に合わせたレポート構成を考案〗

第3章 レポート構成と執筆手法

• BLUF（Bottom Line Up Front）構成法
• What / So What / Now What / Then Whatモデル
• 目的別テンプレート紹介
• 〖演習① テンプレートを用いた概要作成〗

第4章 文章作成と表現技法

• 簡潔で明確な文書作成
• 図表・グラフの活用
• 良い／悪いレポート事例比較
• 〖演習② 改善前後のレポート比較と修正〗

第5章 実践演習①：レポート作成（ハンズオン）

• テーマ：「2025年上半期の金融業界脅威まとめ」
• 目的設定と情報整理
• 顧客向け成果物作成（PDF＋スライド）
• 〖演習③ 指定テーマでレポート作成〗

第6章 情報収集補助（補助資料編）

• Recorded FutureによるIndustry分析
• ChatGPT／Geminiによる代替情報収集
• Ransomware.live／BreachSenseの使い方
• Domain-Industry紐付け手法
• 〖演習④ Ransomware.live＋BreachSenseで金融業界被害を抽出〗

第7章 実践演習②：情報統合とレポート完成

• Ransomware.live／BreachSense／Recorded Future結果照合
• 傾向分析と可視化（グラフ化）
• BLUF構成によるまとめ
• 〖演習⑤ 統合分析＋レポート最終化〗

第8章 まとめと振り返り

• 効果的なレポートの特徴整理
• AI活用の限界と注意点
• 品質向上策と継続的改善
• 〖グループ討議：現場での応用計画策定〗

「脅威インテリジェンスレポート作成 応用」の学習目標

• 読者と目的を意識した構成で脅威レポートを作成できる
• 複数ソースの情報を統合・分析して報告書に反映できる
• AIツールを活用して執筆効率と品質を向上できる
• BLUF・So Whatモデルなどの構成手法を実務で応用できる

使用ツール

• ChatGPT・Gemini（情報抽出・要約）
• Recorded Future（脅威アクター分析）
• Ransomware.live・BreachSense（攻撃被害分析）

第1章 イントロダクション

• コース概要とゴールの明確化
• 前提知識（脅威情報取得・分析の基礎）
• 学習の流れと評価方法

第2章 2025年上半期の脆弱性動向分析

• CVEデータの収集・蓄積環境確認
• JSON構造理解と分類手法
• Critical〜Lowの優先度評価
• 悪用状況（KEV／CWE／CPE）の確認
• 〖演習① jq＋AI（Gemini）を用いたデータ抽出・集計〗
• 〖演習② Vulnerability-Lookup APIで自動収集〗

第3章 ハニーポット運用と攻撃観測

• T-Pot（HoneyPot）の構成と仕組み
• ログ収集と可視化（Attack Map／Elasticvue）
• iptables／Docker設定とセキュリティ留意点
• 〖演習③ T-Potログから攻撃種別・送信元を分析〗
• 〖演習④ 攻撃頻度グラフの作成〗

第4章 脅威レポート作成演習（金融業界を題材に）

• BLUF構成でのレポート設計
• Ransomware.live／BreachSenseによる被害分析
• 主要脅威アクター（Akira／Qilin／Luna Moth）の比較
• TTP分析（MITRE ATT&CK対応）
• 〖演習⑤ ChatGPT＋GeminiでAI補助レポート生成〗
• 〖演習⑥ 被害傾向まとめと提言パート作成〗

第5章 実践総合演習

• テーマ設定と情報統合（例：業界別ランサム動向）
• AIを活用した文章生成と検証
• 講師レビューを通じた改善プロセス
• 〖演習⑦ 各自テーマ設定による最終レポート作成〗

第6章 まとめと今後の展開

• 応用スキルの整理と定着
• AI活用による効率化手法
• 最新脆弱性情報源の継続追跡
• 〖グループ討議：業務活用計画策定〗

「脆弱性分析・ハニーポット運用・レポート作成」の学習目標

• 脆弱性・攻撃観測データを基にした分析手法を習得
• AIツールを活用したレポート作成スキルを実践
• 業界別脅威動向を論理的に可視化・報告できる

使用ツール

• Vulnerability-Lookup / KEV / CVE Data Feeds
• T-Pot（HoneyPot環境）
• ChatGPT・Gemini（AI分析支援）

第1章 イントロダクション

• 講座の目的と概要
• T-Potを用いた実践の意義
• 学習目標と進行スケジュール

第2章 HoneyPot（T-Pot）の基礎

• HoneyPotの概念
• T-Potの構成（Dionaea, Cowrie, CiscoASA, Sentrypeer）
• GitHubリポジトリの取得とinstall.sh実行
• iptables設定とSSHポート変更
• Attack Map / Elasticvue / Kibanaによる可視化
• 〖演習①：環境構築と初期アクセス確認（Attack Map / Kibana表示）〗

第3章 ハニーポットデータの活用

• データ格納構造（tpotce/data/）
• Kibanaダッシュボード操作
• アクセス上位IP抽出とCSV出力
• 〖演習②：ダッシュボードでアクセス情報を調査／tpotce/data配下を分析〗

第4章 Dionaeaによるマルウェア収集

• Dionaea概要と保存ディレクトリ
• VirusTotal API設定と利用方法
• curlコマンドによる結果取得とYARA照合
• 〖演習③：Dionaeaで収集したサンプルをVirusTotal APIで分析〗

第5章 AbuseIPDB APIを用いた不正アクセス解析

• AbuseIPDBの概要
• API構文とcurl -Gコマンドの理解
• json整形による結果の可視化
• 〖演習④：Dionaea + AbuseIPDB APIによる不正IP分析〗

第6章 CowrieによるSSH攻撃観測

• Cowrieのログ構造
• ttyログ解析とplaylogによる再生
• 侵入後のコマンド分析
• VirusTotal連携によるマルウェア確認
• 〖演習⑤：Cowrieログを用いた侵入行動分析〗

第7章 その他のハニーポットコンポーネント

• SentrypeerによるSIP攻撃の記録
• Cisco ASA Honeypotの設定とCVE-2018-0101攻撃検知
• 〖演習⑥：ログ解析を通じて各サービスの挙動を比較〗

第8章 SpiderFootによる情報収集演習

• SpiderFootの概要とセットアップ
• Kibanaで抽出したIPを入力してOSINT情報を収集
• グラフによる脅威レベル評価
• 〖演習⑦：SpiderFootによる情報収集と評価〗

第9章 まとめと今後の展開

• ハニーポット運用知見の応用
• API連携による分析自動化
• SpiderFoot・VirusTotal・AbuseIPDBの使い分け
• 〖討議：自組織での応用事例を検討〗

「HoneyPotと情報収集応用」の学習目標

• ハニーポットを運用し攻撃観測データを収集できる
• API連携でマルウェアや不正アクセスを特定できる
• SpiderFootを用いて関連脅威情報を自動的に取得・評価できる
• 実観測データをもとに分析・報告できるスキルを習得する

使用ツール

• T-Pot、Dionaea、Cowrie、Cisco ASA、Sentrypeer
• VirusTotal API、AbuseIPDB API、SpiderFoot、jq