CompTIA SY0-701: ネットワークセキュリティとアーキテクチャ — 学習ガイド

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

こちらの一部です： CompTIA Security+ SY0-701 — 学習ガイド. 検証済みの解答で練習： CompTIA試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

ネットワークセキュリティアーキテクチャとは、悪意のあるアクティビティを封じ込め、監視し、ブロックする一方で、正当なビジネスコミュニケーションは妨げられることなく継続できるように、デバイス、コントロール、トラフィックフローを配置する分野です。これは、ルールとして表現されるポリシー、セグメンテーションとして表現される構造的な境界、トンネルとして表現される暗号化による保護を組み合わせたもので、これらすべてがホストおよびポートレベルでの強化 (hardening) によって補強されます。

ファイアウォールルールとアクセス制御リスト

ファイアウォールルールは、ステートフルアプライアンス上で記述されるか、ルーターのACLとして記述されるかにかかわらず、送信元アドレス、宛先アドレス、送信元ポート、宛先ポート、プロトコルの5タプルに対してトラフィックを評価します。ルールは上から下へ処理され、最初に一致したものが適用されます。この順序は非常に重要です。特定の拒否ルールの前に any any トラフィックを許可するルールを配置すると、その拒否ルールは意味をなさなくなります。同様に、適切に設計されたルールセットはすべて、明示的に許可されていないものをすべて破棄する、記述されていないキャッチオールである暗黙の拒否 (implicit deny) で終わります。

アウトバウンドDNSを制限し、指定された内部リゾルバー 10.50.10.25 のみが UDP/53 で外部サーバーにクエリできるようにするポリシーを考えてみましょう。

access-list OUTBOUND permit udp host 10.50.10.25 any eq 53
access-list OUTBOUND deny   udp any any eq 53
access-list OUTBOUND permit ip  any any

順序が重要です。特定の許可が広範な拒否より前にあり、他のホストは外部DNSに到達できません。10.1.4.9 のような既知の悪意のあるインバウンドソースをブロックするには、対応するインバウンドルールは単純です。

access-list INBOUND deny ip host 10.1.4.9 any

インバウンドリストの先頭に配置することで、許可ステートメントが一致する前にそのアドレスが確実に破棄されます。

ファイアウォールは、フェイルオープン (デバイス障害時にトラフィックを許可) または フェイルクローズド (すべてのトラフィックを拒否) に設定できます。フェイルオープンは可用性を維持しますがセキュリティを犠牲にし、フェイルクローズドはその逆です。この選択は、セグメントがアップタイムを優先するか (製造現場など)、機密性を優先するか (決済処理エンクレーブなど) に基づいて、慎重に行う必要があります。

セグメンテーション、VLAN、ジオロケーション制御

セグメンテーションは、フラットなネットワークをより小さなブロードキャストドメインと信頼ドメインに分割します。VLAN は共有スイッチ上でレイヤー2の分離を強制し、ルーティングされたサブネットとファイアウォールはレイヤー3の境界を強制します。一般的な企業では、ユーザーワークステーション、サーバー、VoIP電話、ゲストWi-Fi、IoTデバイス、管理インターフェースをそれぞれ異なるVLANに分離し、各VLAN間はACLによって管理されます。セグメンテーションはラテラルムーブメント (水平展開) を制限します。ランサムウェアがユーザーVLANで実行されても、フィルタリングされた境界を越えなければ、データベースVLANに即座に侵入することはできません。

IPジオロケーションは、セグメンテーションを論理的に拡張します。ビジネスが北米でのみ運営されている場合、ファイアウォールルールやgeo-IPフィードを使用して他の地域からの接続を破棄し、ブルートフォース攻撃や偵察トラフィックに対する攻撃対象領域を大幅に縮小できます。ジオロケーションは認証の代替にはなりませんが (攻撃者はVPNやプロキシを使用するため)、効果的な粗いフィルターとなります。

ペリメータデバイス: NGFW, IDS/IPS, WAF

次世代ファイアウォール (NGFW) は、従来のステートフルインスペクションを、アプリケーション認識、ユーザーID連携、TLS復号、脅威インテリジェンスフィードで拡張したものです。レガシーファイアウォールが「TCP/443 to 8.8.8.8」と認識するところを、NGFWは「ユーザーjsmithがDropboxを使用してPIIとして分類されたファイルをアップロードしている」と認識します。

侵入検知システム (IDS) と 侵入防止システム (IPS) は、シグネチャと振る舞いのベースラインに基づいてトラフィックを分析します。決定的な違いは、IDSはアウトオブバンドで受動的であり (通常、SPANポートやネットワークタップからデータ供給を受ける)、アラートを発することしかできない点です。一方、IPSはインラインでトラフィック経路上に配置され、悪意のあるフローをリアルタイムで破棄、リセット、または隔離できます。防止が必要な場所にIDSを導入すると、攻撃は可視化されますが緩和されません。IPSを慎重なチューニングなしに導入すると、正当なトラフィックをブロックするリスクがあります。ミッションに基づいて選択します。監視とフォレンジックにはIDSが、積極的な強制にはIPSが求められます。

Webアプリケーションファイアウォール (WAF) はレイヤー7で動作し、特にHTTP/HTTPSのセマンティクスを理解します。リクエストを解析して、SQLインジェクション、クロスサイトスクリプティング、アプリケーションロジックの悪用を検出します。WAFは汎用のIPSではありません。Webアプリケーションを特化して保護し、Webサーバーの直前、またはリバースプロキシやCDNに組み込まれて配置されます。逆に、IPSはより広範なプロトコルをカバーしますが、POSTボディに埋め込まれた巧妙な UNION SELECT ペイロードを捕捉するために必要な深いアプリケーションコンテキストを欠いています。

ロードバランサーとコンテンツフィルタリング

ロードバランサーは、ラウンドロビン、最小コネクション、加重ハッシュなどのアルゴリズムを使用して、クライアント接続をバックエンドサーバーのプールに分散させます。パフォーマンス向上だけでなく、伸縮性のある可用性を実現します。バックエンドサーバーの追加や交換はプールの更新のみで済み、クライアント側からは中断が見えません。このため、ロードバランサーは、最小限の運用労力でキャパシティを追加または交換するという要件がある場合の定番ソリューションとなります。最新のロードバランサーは、TLS終端、ヘルスチェックの実行、WAFやDDoSスクラビングサービスとの連携も行います。

コンテンツフィルターとセキュアWebゲートウェイは、アウトバウンドのユーザートラフィックを検査し、マルウェア、フィッシング、ポリシー違反コンテンツなどのカテゴリへのアクセスをブロックします。また、追加の防御線としてDNSレイヤーのフィルタリングを強制することもよくあります。

VPNと暗号化トンネル

仮想プライベートネットワーク (VPN) は、信頼できないネットワークを通過するトラフィックに機密性と完全性を提供します。IPsec はレイヤー3で動作し、あらゆるIPトラフィックを保護できます。ネゴシエーションにはIKE (Internet Key Exchange) を使用し、AH (Authentication Header、完全性のみ) またはESP (Encapsulating Security Payload、完全性と機密性) のいずれかを利用します。SSL/TLS VPN はレイヤー4～7で動作し、通常はWebブラウザや軽量クライアントを介して利用します。IPsecよりもNATやファイアウォールを介した展開が容易です。WireGuard は、鍵交換にCurve25519、暗号化にChaCha20-Poly1305を使用する、コードベースが最小限に抑えられた最新のVPNプロトコルです。多くのシナリオでOpenVPNやIPsecよりも大幅に優れたパフォーマンスを提供します。

スプリットトンネリングは、企業向けのトラフィックのみをVPN経由でルーティングし、インターネットトラフィックはローカルで直接通信させます。これによりVPNの帯域幅負荷は軽減されますが、インターネット向けの脅威が企業のセキュリティコントロールをバイパスすることを意味します。フルトンネルVPNは、すべてのトラフィックを企業のゲートウェイ経由でルーティングし、レイテンシと帯域幅の増加を犠牲にして、コンテンツフィルタリングやDLP検査を可能にします。

実践シナリオ: フラットネットワークを介したラテラルムーブメント

あるプロフェッショナルサービス企業では、すべてのワークステーション、サーバー、プリンターを、内部セグメンテーションのない単一の/16サブネットで運用していました。攻撃者がジュニアアナリストのワークステーションでフィッシングメールを介して初期アクセスを獲得した際、

undefined

を使用して到達可能な847台のホストを発見しました。そして、パッチが適用されていないWindows Server 2012 R2ファイルサーバーを特定し、MS17-010 (EternalBlue) を悪用してSYSTEM権限を取得し、その足がかりを利用してドメインコントローラーに到達しました。ラテラルムーブメントのフェーズ全体は4時間未満で完了しました。もしネットワークがセグメント化されていれば — 例えば、ワークステーションとサーバーを別々のVLANに配置し、VLAN間のファイアウォールルールで必要なプロトコルのみを許可していれば — アナリストのワークステーションはSMB/445でファイルサーバーに到達できず、攻撃チェーンは最初のピボット（侵入拡大の起点）で断ち切られていたでしょう。

← 脅威、攻撃、脆弱性 · すべてのドメイン · セキュリティ運用、監視、検知 →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →