3ホストベース分析

• 3.1エンドポイント技術

  ホスト上で動くHIDS（ホスト型IDS）・アンチマルウェア/アンチウイルス（AV）・ホストファイアウォールの役割と、検知の土台であるシグネチャ/ルールベースと振る舞い/予測（予測AI）ベースの違いを、「このアラートはどの技術が捉えたのか」「既知/未知の脅威にどの手法が効くのか」というSOCの判断として学びます。

• 3.2OS構成要素の識別（Windows/Linux）

  調査シナリオで意味を持つWindowsの構成要素（プロセス/サービス・レジストリ・イベントログ・スケジュールタスク・tasklist/netstat）とLinuxの構成要素（プロセス/デーモン・systemd・/etc 設定・/var/log ログ・cron・ps）を対応づけ、「この痕跡はどのOSのどこを見れば分かるか」という調査判断として学びます。

• 3.3帰属と証跡

  調査における帰属（アトリビューション）の役割と対象——保護すべき資産、脅威アクター、既に侵害された痕跡であるIoC（侵害指標）、進行中の攻撃の兆候であるIoA（攻撃指標）、そして証拠の信頼性を支える証拠保全の連鎖（chain of custody）——を、「この痕跡は事後か進行中か」「証拠として通用させるには何を記録するか」という判断として学びます。

• 3.4証拠の種別

  与えられたログから証拠の種別を見分ける——事実を最も直接に立証する最良証拠（best evidence）、他の証拠を補強する補強証拠（corroborative evidence）、事実を直接には示さず状況から推認させる間接証拠（indirect/circumstantial evidence）——を、「このログは何をどこまで立証できるか」という判断として学びます。

• 3.5ログ解釈とマルウェア解析出力

  OS・アプリケーション・コマンドラインのログや、SIEM/SOARが集約・自動化する記録からイベントを読み解く力と、検体を隔離環境で実行するデトネーションチャンバ/サンドボックスの概念、そしてその解析出力（ハッシュ・URL・システム/イベント/ネットワーク情報）をIoCとして活用する判断を学びます。