CompTIA SY0-701: セキュリティ運用、監視、検知 — 学習ガイド

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

こちらの一部です： CompTIA Security+ SY0-701 — 学習ガイド. 検証済みの解答で練習： CompTIA試験ハブ, または時間制限付き模擬試験に挑戦： ExamRoll.io.

現代のセキュリティオペレーションは、エンタープライズのあらゆる場所（エンドポイント、ネットワークデバイス、IDプロバイダー、クラウドワークロード、アプリケーション）から発せられるシグナルを監視、相関分析し、それに基づいて行動する能力にかかっています。成熟した検知プログラムは単一の製品ではなく、侵害から封じ込めまでの時間を短縮するために設計された、テレメトリパイプライン、分析エンジン、人間のアナリスト、そして自動化されたレスポンスワークフローのエコシステムです。

SIEMとログの一元集約

Security Information and Event Management (SIEM) プラットフォームは、セキュリティオペレーションセンターの結合組織です。Windowsイベントログ、Linuxのsyslog、ファイアウォールのフローデータ、DNSリゾルバー、Active Directory、エンドポイントエージェント、SaaSの監査証跡など、異なるソースからログを取り込み、共通のスキーマに正規化し、集約されたストリーム全体に相関ルールを適用します。その価値は単なるストレージではありません。あるログソースでのVPN認証の失敗と、別のログソースでの特権ログオンの成功および横方向のSMBアクセスを関連付け、3つの孤立したイベントではノイズであったものを、忠実度の高い単一のアラートとして生成する能力にあります。

一般的なプラットフォームには、Splunk、Microsoft Sentinel、IBM QRadar、Elastic Security、Chronicleなどがあります。クラウド環境では、AWS CloudTrailとCloudWatchおよびGuardDuty、またはAzure MonitorとLog Analyticsワークスペースのようなネイティブツールがロギングのバックボーンとして機能し、多くの場合、上流のSIEMにフィードされます。

ソース横断的なロジックを示す、典型的なSplunkの相関検索：

index=wineventlog EventCode=4625
| stats count by src_ip, user
| where count > 10
| join user [search index=vpn action=success]
| table _time, user, src_ip, count

ここでの落とし穴は巧妙です。組織がSIEMを導入し、テラバイト単位のデータを取り込んでも、重要なログソースが欠落しているために侵入を見逃す可能性があります。エンドポイントのプロセス作成イベント（WindowsイベントID 4688またはSysmonイベントID 1）が転送されていなかったり、ファイアウォールの拒否ログが切り捨てられたりすると、攻撃フェーズ全体が見えなくなってしまいます。MITRE ATT&CKのようなフレームワークに明示的にマッピングされたログソースのカバレッジは、意味のある検知を行うための前提条件です。

エンドポイントでの検知と対応 (EDR)

EDRは、攻撃者の活動のほとんどが最終的に現れるホストへの可視性を拡張します。ファイルのハッシュやシグネチャを照合する従来のアンチウイルスとは異なり、CrowdStrike Falcon、SentinelOne、Microsoft Defender for Endpoint、Carbon BlackなどのEDRプラットフォームは、プロセスツリー、コマンドライン引数、レジストリ変更、ネットワーク接続、DLLのロードといった継続的なテレメトリを記録します。このデータにより、リアルタイムの振る舞い検知と遡及的な脅威ハンティングの両方が可能になります。

よくある誤解は、EDRをファイアウォールと同等の予防的コントロールとして扱うことです。EDRは主に検知し、対応を支援します。既知の悪意のある振る舞いをブロックすることもありますが、その真価は、侵害されたプロセスが何をしたか、どの認証情報にアクセスしたか、そしてどこに横展開したかをアナリストが判断するためのフォレンジックの追跡情報を提供することにあります。ホストの隔離、プロセスの終了、ファイルの隔離といった対応アクションは、通常、EDR単独ではなく、アナリストまたはSOARプレイブックによって開始されます。

IDS/IPS、シグネチャ、ベースラインの強制

ネットワークベースの侵入検知・防御システム（IDS/IPS）は、シグネチャと振る舞いモデルに基づいてトラフィックを検査します。IDS（監視モードのSnortやSuricataなど）は不審なパターンについてアラートを出し、IPSはインラインで配置され、一致するトラフィックを破棄します。特定のエクスプロイトパターンを検知するためのSnortルールは、シグネチャベースのロジックを示しています。

alert tcp any any -> $HOME_NET 445 (
  msg:"SMB Exploit Attempt";
  content:"|ff|SMB"; offset:4; depth:4;
  content:"|72 00|"; distance:0;
  sid:9000001; rev:1;
)

異常ベースの検知は、振る舞いのベースラインを確立し、そこからの逸脱を警告します。例えば、ワークステーションが突然通常の10倍のレートでDNSクエリを開始したり、サーバーが初めてポート4444でアウトバウンド接続を開いたりした場合、シグネチャに一致するかどうかにかかわらず、どちらも調査に値します。

脅威インテリジェンスと侵害指標の管理

脅威インテリジェンスは、生データを、攻撃者の戦術、技術、手順（TTP）に関する実用的な知識に変換します。STIX (Structured Threat Information eXpression) は、侵害指標、キャンペーン、脅威アクター、攻撃パターンなどの脅威インテリジェンスオブジェクトを表現するための標準フォーマットであり、TAXII (Trusted Automated eXchange of Indicator Information) は、それらを共有するための転送プロトコルです。商用およびオープンソースのフィード（VirusTotal、AlienVault OTX、MISP、Recorded Future）は、IPレピュテーション、ドメインのブロックリスト、ファイルのハッシュ、YARAルールを提供し、これらはSIEMやファイアウォールプラットフォームに直接取り込むことができます。

侵害の痕跡（IoC）—悪意のあるIPアドレス、ファイルのハッシュ、ドメイン名、レジストリキー—は、最も即時性のあるインテリジェンスですが、最も短命でもあります。攻撃者はインフラを迅速にローテーションさせるためです。攻撃の痕跡（IoA）は、アーティファクトではなく振る舞いに焦点を当てます。例えば、プロセスが子シェルを生成する、エンコードされたPowerShellコマンド、またはランダムな名前で作成されたサービスなどです。IoAベースの検知は、特定のツールではなく技術を標的とするため、回避がより困難です。

実践シナリオ：ログソースの欠落による検知のギャップ

ある金融サービス企業がSIEMを導入し、境界ファイアウォールのログ、Windowsセキュリティイベントログ、メールゲートウェイのログを取り込んでいました。レッドチーム演習中、チームはフィッシングメールを介して初期アクセスを獲得しました（これは検知された）。しかしその後、横展開のためにWMIを、コマンド実行のためにPowerShellリモート処理を使用しましたが、どちらもデフォルト設定ではWindowsセキュリティイベントを生成しませんでした。レッドチームは財務部門のワークステーションに到達し、最初のフィッシング検知後は一度もSIEMアラートをトリガーすることなく、模擬の送金ファイルを外部に持ち出しました。ギャップは、Sysmonが展開されておらず、PowerShellスクリプトブロックのログ記録が有効になっておらず、WMIアクティビティのログ記録には追加の設定が必要だった点にありました。この演習は、SIEMのカバレッジが、それにフィードするログソースの質に依存することを示しました。これは、ベンダーのドキュメントから想定するのではなく、パープルチーム演習を通じて検証されなければならない教訓です。

← ネットワークセキュリティとアーキテクチャ · すべてのドメイン · インシデント対応、フォレンジック、アセスメント →

これらの問題を練習する → · ExamRoll.ioで時間制限付き練習 →