4ネットワーク侵入分析

• 4.1セキュリティイベントの発生源マッピング

  目の前のアラートやログがIDS/IPS・ファイアウォール・NAC・プロキシ・アンチウイルス・NetFlowのどのセンサから来たのかを、イベントの形（署名ID・許可/拒否・認証/ポスチャ・URLカテゴリ・検体名・フロー統計）から即断する技能を、SOCの相関分析の起点として学びます。

• 4.2アラートの影響判定（真陽性・偽陽性・偽陰性）

  アラートの発火と実際の悪性活動の有無を突き合わせ、真陽性（TP）・偽陽性（FP）・真陰性（TN）・偽陰性（FN）・benign（正当だが署名に一致）のどれかを判定する技能を、トリアージの優先順位付けと検知チューニングの土台として学びます。FNが最も危険、FPはアラート疲れの原因という運用上の重みも押さえます。

• 4.3検査方式とセンサ配置の比較

  パケットフィルタリング（ステートレス）・ステートフル検査・ディープパケットインスペクション（DPI）という検査の深さの違いと、インライン対タップ/SPAN（遮断できるか・経路に影響するか）、フルパケットキャプチャ（タップ）対トランザクショナル（NetFlow）（ペイポードを持つか・軽量に長期保持できるか）を、「この目的にはどの方式が適切か」という設計判断として学びます。

• 4.4pcap分析（ストリーム再構成と侵入の要素）

  キャプチャしたpcapからTCPストリームを再構成して転送ファイルを抽出する手順（WiresharkのFollow TCP StreamやExport Objects）と、パケットデータから読み取る侵入の要素＝送信元/宛先アドレス・送信元/宛先ポート・プロトコル（5タプル）＋ペイロードを、被害ホストとC2/持ち出し先を特定するSOCの実作業として学びます。

• 4.5プロトコルヘッダ・アーティファクトと正規表現

  Ethernet/IPv4/IPv6/TCP/UDP/ICMP/DNS/SMTP・POP3・IMAP/HTTP・HTTPS/ARPの各ヘッダ要素から何が読み取れるか、分析の成果物であるアーティファクト（IOC＝ハッシュ・URL・ドメイン・IP・ファイル名等）、そしてログ/ペイロード探索の道具である基本正規表現を、脅威を可視化して次の調査へつなぐ技能として学びます。