CompTIA SY0-701: エンドポイント、モバイル、物理セキュリティ — 学習ガイド
こちらの一部です： CompTIA Security+ SY0-701 — 学習ガイド. 検証済みの解答で練習： CompTIA試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.
情報システムのセキュリティは、最終的にはデータを保存し処理する物理デバイスおよびエンドポイントデバイスのセキュリティに依存します。暗号化されていないラップトップが空港のラウンジで盗まれたり、技術者が便宜のためにデータセンターのドアを開けっ放しにしたり、従業員が会社の電話に侵害されたAPKをサイドロードしたりした場合、完璧に設定されたファイアウォールもほとんど保護の役には立ちません。
モバイル展開モデルとデバイスの強化
モバイルデバイス管理戦略は、所有権と管理モデルから始まります。Bring Your Own Device (BYOD) モデルでは、従業員は個人所有のハードウェアを仕事に使用します。組織が設定を強制する権限は限られているため、コントロールはコンテナ化に焦点を当てます。つまり、個人のデータには触れずに、会社のデータを暗号化され、リモートで管理可能なワークスペース（Android Work ProfileやiOS User Enrollmentなど）に分離します。BYODにおけるリモートワイプは、通常、会社のコンテナに限定されます。
Corporate-Owned, Personally Enabled (COPE) デバイスは、組織が購入・所有しますが、合理的な範囲での個人利用が許可されます。会社がハードウェアを所有しているため、完全なデバイスポリシーを強制できます。これには、PINの複雑さの強制、開発者向けオプションの無効化、OSバージョンの強制、アプリケーションの許可リスト登録、およびフルデバイスのリモートワイプが含まれます。COPEは、ユーザーの満足度と企業の管理統制との間でバランスを取るモデルです。
Corporate-Owned, Business Only (COBO) は、デバイスを厳密に業務関連の用途に限定します。個人用アプリ、カメラ、USB転送、アプリストアは無効化されます。COBOは、医療、金融、政府など、データ漏洩のリスクが従業員の利便性を上回る、高度なセキュリティが求められる環境に適しています。
モバイルデバイス管理 (MDM) プラットフォーム（Jamf, Microsoft Intune, VMware Workspace ONEなど）は、ポリシーの強制、設定のプッシュ、アプリケーションの展開、リモートワイプを可能にします。モバイルアプリケーション管理 (MAM) は、完全なデバイス登録を必要とせずに、アプリケーションレベルの制御に特化しており、従業員が完全なMDM登録に抵抗するBYODシナリオで役立ちます。
エンドポイントの強化と設定ベースライン
エンドポイントの強化（ハードニング）は、ワークステーションやサーバーの攻撃対象領域を削減します。CIS Benchmarks は、Windows、Linux、macOS、および主要なアプリケーションに対して、規範的でコンセンサスに基づいた設定ガイダンスを提供します。主要な強化策には、不要なサービスやポートの無効化、ホストベースのファイアウォールの有効化、自動更新の設定、フルディスク暗号化の有効化、EDRの導入、アプリケーションの許可リスト登録の強制などがあります。
Active Directory環境におけるグループポリシーは、設定を大規模に強制します。GPOは以下のような項目を強制することがあります。
Computer Configuration > Windows Settings > Security Settings:
- Minimum password length: 14 characters
- Account lockout threshold: 5 invalid attempts
- Audit logon events: Success and Failure
- Disable: Guest account, AutoRun/AutoPlay
- Enable: Windows Firewall (all profiles)
パッチ管理は、エンドポイントにとって最も投資対効果の高い単一のセキュリティ活動です。成功したエクスプロイトの大半は、パッチが数ヶ月から数年間利用可能であった既知の脆弱性を標的としています。パッチ管理プログラムは、重要度別のSLA（クリティカルなパッチは72時間以内、高は14日以内、中は30日以内）を定義し、コンプライアンスを追跡し、例外をエスカレーションします。
物理的セキュリティコントロール
物理的セキュリティは第一の防御線です。マントラップ（エアロックやアクセスコントロール前室とも呼ばれる）は、最初のドアが閉まらないと2番目のドアが開かない2ドア式の入口を作り出し、共連れ（ピギーバッキング）を防ぎます。バッジリーダー、生体認証スキャナー、PINパッドは、機密エリアへのアクセスを制御します。CCTVは、抑止力とフォレンジック（鑑識）の証拠を提供します。警備員は、自動化システムでは再現できない人間の判断を提供します。
環境制御は、非敵対的な脅威から保護します。データセンターには、精密な温度・湿度管理（ASHRAE A1クラス: 15–32°C, 20–80% RH）、冗長化された冷却装置、消火設備（FM-200やNovec 1230など、機器に損傷を与えないクリーンエージェント消火システム）、ケーブル管理とエアフローのための二重床（上げ床）が必要です。
ファラデーケージは電磁信号を遮断し、遮蔽された空間への、または空間からの無線通信を防ぎます。高度なセキュリティ施設でRFベースのデータ抜き取りを防ぐためや、押収したデバイスのリモートワイプを防ぐためのフォレンジック調査で使用されます。
実践シナリオ：物理的な共連れがデータ盗難につながったケース
ある金融サービス会社のトレーディングフロアは、バッジで制御されたアクセスがありましたが、マントラップはありませんでした。HVAC（空調）技術者を装った攻撃者（制服を着用し、工具を携帯）が入口近くで待ち、正規の従業員がバッジをかざして入る際に、その従業員の後についてドアを通過しました。これは典型的な共連れ攻撃です。中に侵入した攻撃者は、ログインしたまま放置されていた無人のワークステーションを見つけ、キーロガーとリバースシェルのペイロードを含むUSBドライブを挿入し、4分以内に立ち去りました。その後1週間にわたり、キーロガーはトレーダーの認証情報をキャプチャし、それらは外部IPからトレーディングプラットフォームへのアクセスに使用されました。マントラップがない、訪問者のエスコートポリシーがない、無人ワークステーションに関するポリシーがないといった物理的な管理の不備が、攻撃チェーン全体を可能にしました。マントラップがあれば攻撃者は独立してバッジをかざす必要があり、スクリーンロックポリシー（5分間のアイドルタイムアウト）があれば、ロック解除されたワークステーションへのアクセスを防げていたでしょう。
← 事業継続と災害復旧 · すべてのドメイン · 脆弱性管理とパッチ管理 →
これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
試験に合格する →