はじめに
2025年12月にSANS SEC541をLive Onlineで受講し、2026年4月にGIAC GCTD（Cloud Threat Detection）に83%で合格した。GCTDはGIACの中でもマイナーな資格なので、コースの概要も記載しておく。
SEC541とGCTD
SEC541（Cloud Security Threat Detection）はクラウド環境への攻撃をログから検知・調査するコースで、5日間で22のラボを行う。
| Section | タイトル | 主な内容 |
|---|---|---|
| 1 | Detection of Cloud API and Network Attacks | CloudTrailとネットワークログによる検知 |
| 2 | Compute and Application Attacks | 仮想マシン・コンテナ・サーバーレスの監視 |
| 3 | Security Services and Investigations | GuardDuty、Defender、Macieなどのクラウドネイティブな検知サービス |
| 4 | Microsoft Ecosystem | AzureとMicrosoft 365の脅威、KQLとSentinel |
| 5 | Data Shipping, Automation and CloudWars | ログ転送、自動対応、最終日のCTF（CloudWars） |
対応するGIACの資格がGCTDだ。試験は75問・2時間で、合格基準は70%。試験範囲は12分野で、AWSとAzureの調査がそれぞれ独立した分野になっている。
SEC541の受講
SEC541はLive Onlineで受講した。オンラインだったため、コース中は業務の割り込みが多かった。そこで毎晩業務が落ち着いてから、その日の内容を復習した。
AWSについてはある程度知っていたが、AWSとAzureの検証環境を実際に操作するハンズオンと、ケーススタディから多くを学んだ。ログエージェントについても、思想についていろいろ考えるきっかけになった。
3クラウドの設計思想
コースを通じて、個別の技術に加え、AWS・Azure・GCPのログの設計思想を比べて理解できた。違いは次の3点に分けられる。
1つ目はスキーマだ。「誰が・どこから・何をしたか」を記録するという概念は3クラウドで共通しているが、それを入れるフィールドの名前と構造はクラウドごとに違う。
2つ目は、ログの既定の有効/無効だ。管理操作のログのように既定で残るものと、自分で有効にしないと残らないものがあり、その線の引き方がクラウドごとに違う。
3つ目は集約の考え方だ。ログをどこに集め、どう検索するかの前提も、クラウドごとに異なる。
コースの内容を開示するものではなくあくまで一例ととらえてほしいが、AWSのVPC Flow LogsとAzureのVNet Flow Logsは、どちらも通信の送信元・宛先・ポートを記録する。一方、ログの形式や記録する項目は両者で異なる。そういった点に徹底的に着目する機会をこのコースは与えてくれる。
試験勉強
今回はGCIHのときより勉強に使える時間が少なかった。75問を2時間で解くので、1問あたりに使えるのは約1分36秒だ。一部の問題は勘で答えた。GCTDにはCyberLive形式の問題はない。
結果は83%で合格した。(体感よりスコアは低かった)
CloudWars
最終日のCloudWarsは個人戦で、何とか1位を取れた。コツは落ち着いて解くこと。今回のコインはSEC504のものより大きく、雲の上を飛行機が飛ぶ図柄だった。
SEC541を勧めたい人
SEC541は、複数クラウドのログの設計思想を学びたい人に強く勧める。
AWSとAzureの検証環境で手を動かすハンズオンと、ケーススタディからは多くを学べる。スキーマ、ログの既定の有効/無効、集約の考え方を3クラウドで並べて比べられるので、1つのクラウドで身につけた検知の知識を、他のクラウドでどう使うかまで考えられる。
参考: