サイバーセキュリティコースのシラバスを見て、彼らは何を考えていたんだ？ なぜコースの実際の目標に関係のないトピックがこんなに多いんだ？ と自問した経験はありませんか？ それは驚くほど一般的です。SOCアナリストコースにPythonプログラミングやIDSルールの作成が詰め込まれているのをよく見かけますが、これらは興味深いスキルであるものの、ジュニアアナリストがSOCでの初日に扱うことはめったにありません。
これは、学生の目標や仕事の要求に真に焦点を当てることなく、「良さそう」あるいはサイバーセキュリティに属していると「感じる」ものを集めてシラバスを構築した場合に起こります。その結果、学生は多くのバラバラな知識を得るものの、トレーニングを受けた役割を実行する能力にほとんど自信を持てない、散漫なコースになってしまいます。
では、どうすればこれを回避できるでしょうか？ 答えは3つの重要な質問から始まります：目標は何か、学生は誰か、そして実際にどれだけの時間があるか？
目標の明確化
ほとんどの場合、サイバーセキュリティコースの目標は、役割に直接マッピングするか、既存の役割の「機能」を拡張することです。それは、SOCアナリストになるためのトレーニング、インシデントレスポンダーの地位に就くための学生の準備、または組織のセキュリティシステムを管理できるようにITスタッフのスキルを拡張すること（しばしばSecOpsと呼ばれます）を意味するかもしれません。
問題はしばしば、目標がNICE Cybersecurity Workforce FrameworkやENISAの役割記述のような馴染みのあるフレームワークを使用して定義されるときに始まります。これらのモデルは有用な参照資料ですが、非現実的な期待を生み出す可能性もあります。NICEのセキュリティアナリストに記載されている知識分野を見てください - たった1つのコースでこれらすべてをカバーすることが本当に可能だと思いますか？ それらのフレームワークのすべてのトピックを本当に知っているアナリストに会ったことがありますか？ 私はありません。
そして、そこからぼやけたシラバスが生まれます。インストラクターは「ENISAに基づく」または「NICEに準拠」としてすべてのボックスにチェックを入れようとし、緩く関連したトピックでコースを詰め込んでしまいます。これは助けになるどころか、学生を傷つけます。彼らはあまりにも多くの分野の表面的な見方しかできず、実際に仕事をするために必要なスキルの深さを得られずに去っていきます。
優れた設計のシラバスは、すべてのフレームワーク要件をチェックすることではなく、最終目標に焦点を当てています。
オーディエンスの理解
2つ目の質問は学生自身についてです。彼らは誰ですか？ 全く背景がないのか、少しあるのか、それとも重要な技術的経験があるのか？ 地理のような単純なものでさえ手がかりを与えることができます。例えば、私は高校でネットワーキングが早期に教えられている地域で学生をトレーニングしたことがありますが、彼らはIPアドレッシングに自信を持ってやってきます。他の場所では、学生はコマンドラインに触れたことさえありません。
オーディエンスに関するすべての情報は貴重です。学生に背景がない場合、コースは専門的なトピックに飛び込む前に「共通言語」を作成することから始めなければなりません。そうでなければ、彼らは最初から迷子になります。
考えてみてください：もし学生がメモリとストレージの違いを理解していないなら、どうやってLinuxのパーミッションや暗号化ハッシュを把握できるでしょうか？ できません。強力なシラバスは、レベルを上げる前にすべての学生が同じ基礎を共有することを保証します。
時間内での作業
3番目の要素 - そして常に学生に関連する要素 - は時間です。時間は、現実的に達成できることを制限します。
かつて顧客から、背景知識ゼロの学生向けに設計された60時間の倫理的ハッキングコースを依頼されたことがありました。私の答えはシンプルでした：申し訳ありませんが、不可能です。何かを教えることはできますが、結果は貧弱なものになるでしょう。事前の基礎がなければ、その60時間は、ハッキングの概念が意味を成すところまで学生のレベルを上げようとするためだけに費やされてしまうでしょう。ラボは単純化されすぎるか、急ぎ足になり、誰も満足しません。
時間は深さを決定します。10時間のコースでは、学生はいくつかの小さなラボを実行することしかできないかもしれませんが、40時間のコースでは、基礎、ツール、および調査の練習のための十分な余地があります。そうでないふりをすることは失望を生むだけです。
シラバスを逆算して構築する
では、目標、オーディエンス、時間枠がわかったら、実際にどのようにシラバスを構築すればよいのでしょうか？ 私のアドバイスはシンプルです：逆算してください。
最終目標から始めましょう。最終演習を想像してください - 実際の仕事のタスクにできるだけ近いものです。SOCアナリストコースの場合、それはファイアウォール、エンドポイント、および電子メールログのデータセットを分析してインシデントを検出し、レポートを作成することかもしれません。インシデントレスポンダーコースの場合、それは攻撃のタイムラインを再構築するためにディスクイメージを調査することかもしれません。
その最終演習から、学生が完了する必要があるタスクを分解します。各タスクについて、必要な知識とスキルを特定します。さらに深く掘り下げてください：各要件自体が依存している背景知識は何ですか？ このプロセスを完了すると、コースが教えるべきすべてのリストができあがります。
今、そのリストを利用可能な時間に当てはめ、学生の事前の知識に合わせて調整します。彼らがすでにLinuxを知っているなら、基本をスキップできます。そうでなければ、最初にその基礎を築かなければなりません。逆算することで、すべてのモジュールが目的を持ち、最終的な成果に直接貢献することを保証します。
例：ITスタッフのための倫理的ハッキングコース
この方法を、プロの侵入テスターになるためではなく、サイバーセキュリティに精通する必要があるITスタッフ向けのコースで実践してみましょう。
最終演習の定義
最終演習は、3つの脆弱なマシンを持つ小さなラボネットワークになります：
- 1つのマシンはアクセスを得るためにエクスプロイトを必要とします。
- 別のマシンはブルートフォース攻撃を必要とします。
- 最後のは悪用できるSMBの設定ミスがあります。
コースの終わりには、学生はこれらのホストを発見し、弱点を特定し、適切な技術でそれらを侵害できるはずです。
要件の分析
逆算：
- エクスプロイトには、Metasploitまたはスクリプト化されたエクスプロイトが必要です。どちらもLinuxとネットワーキングの知識が必要です。
- ブルートフォースにはHydraが必要であり、これもLinuxへの慣れと認証の仕組みの理解を必要とします。
- SMBの設定ミスには
enum4linuxやsmbclientのようなツールが必要であり、これらはLinuxスキルとネットワーキングの基礎の両方に依存しています。 - マシンの発見には、ホスト、ポート、サービスを発見するためのNmapによる列挙が必要です。
この分析から、トピックの最低限のリストは以下のようになります：
- ネットワーキングの基礎（特にTCP/IP、ポート、サービス）。
- Linuxの基本（コマンド、ファイルシステム、パーミッション）。
- Nmapによる列挙。
enum4linux/smbclientによるSMB列挙。- Hydraによるブルートフォース。
- Metasploit（または手動のエクスプロイトスクリプト）によるエクスプロイト。
オーディエンスの考慮
ITスタッフにとって、ネットワーキングはしばしば馴染みがありますが、錆びついています。しかし、Linuxは彼らが毎日使うものではないかもしれません。したがって、コースにはネットワーキングの復習と、ハッキングツールを導入する前のしっかりとしたLinuxの基本セクションを含める必要があります。それがなければ、最終演習は達成できません。
時間の考慮
時間が限られている場合、コースは上記の必須事項に固執できます。より多くの時間がある場合は、以下のような補完的なモジュールで拡張できます：
- サイバーセキュリティの要点（CIAトライアド、攻撃者のマインドセット）。
- 各攻撃に対する防御策（強力なパスワード、パッチ適用、SMBの堅牢化）。
- 攻撃者の視点（攻撃者がどのように段階的にネットワークにアプローチするか）。
- 追加のラボ（例：各攻撃のログ分析やインシデント対応のシミュレーション）。
なぜこれが機能するのか
このアプローチはコースを現実的なものに保ちます。Wi-Fiハッキングやマルウェア分析のような無関係なトピックでシラバスを膨らませるのではなく、特定の目標に焦点を合わせ続けます：ITスタッフが基本的な攻撃技術を理解し、攻撃者の視点からセキュリティを評価できるようにすることです。すべてを最終ラボに結びつけることで、コースは一貫性があり、実践的なままになります。
最後に
サイバーセキュリティコースのシラバスを書くことは、可能な限りのすべての「サイバー」トピックをミックスに放り込むことを意味しません。それは結果に焦点を当てることを意味します：学生を役割に備えさせるか、ターゲットを絞った、仕事に関連する方法でスキルを拡張することです。
目標を明確に定義し、学生を理解し、利用可能な時間を尊重し、最終演習から逆算して設計することで、構造化され、現実的で、インパクトのあるシラバスを作成できます。
学生は、散漫な理論で彼らを圧倒するコースではなく、これからの仕事に自信を与えるコースに値します。シラバスはその違いが始まる場所です。