CCNA Cybersecurity（Cisco・試験200-201） のナレッジマップ
CCNA Cybersecurity（Cisco・試験200-201） の主要概念 31 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（31）
脅威と脆弱性
脅威は情報資産に損害を与える可能性のある要因（不正アクセス・災害・人的ミスなど）を指し、脆弱性はその脅威につけ込まれる情報資産側の弱点（設定不備・パッチ未適用・管理体制の不備など）を指す。リスクは「脅威が脆弱性を突いて損害が生じる可能性」として両者の組み合わせで捉え、脆弱性をなくせば脅威が存在してもリスクは顕在化しにくくなる。
エクスプロイト
脆弱性を実際に悪用し、意図しない動作（不正アクセス・権限奪取・サービス停止等）を引き起こすための具体的な手段・コード。脆弱性が「弱点」であるのに対し、エクスプロイトはその弱点を突く「攻撃の実行手段」に当たる。
関連: 脅威と脆弱性
リスク
脅威が脆弱性を突いて実際に損害が発生する可能性。一般に「発生確率×影響度」で捉えられ、脆弱性が存在するだけではリスクは生じず、それを悪用しうる脅威と組み合わさって初めて評価対象になる。
前提: エクスプロイト
関連: 脅威と脆弱性
CVSS（深刻度）
Common Vulnerability Scoring System。脆弱性の深刻度を数値化する標準。優先順位付けでは EPSS（悪用確率）や到達可能性・資産重要度と併用する。
DevSecOps
セキュリティ検証をリリース後の後工程ではなく開発の初期段階から組み込む考え方（シフトレフト）。コードレビューや自動脆弱性スキャンをCI/CDパイプラインに組み込み、脆弱性を安価な早い段階で見つけて修正する。
前提: 脅威と脆弱性
MDM（モバイルデバイス管理）とパッチ管理
MDM（モバイルデバイス管理）は組織が配布・許可したスマートフォンやタブレットに対し、暗号化強制・リモートワイプ・アプリ制限等のセキュリティポリシーを一元適用する仕組み。パッチ管理はOSやソフトウェアの脆弱性修正パッチを計画的に検証・展開し、既知の脆弱性が悪用される窓を短くする継続的な運用活動。いずれもハードニング・資産管理と並ぶ基礎的なセキュリティ管理活動。
NetFlow
ルーターやスイッチが通過したトラフィックを、5-tupleを鍵にしたフロー単位の統計情報（バイト数・パケット数・開始終了時刻等）として出力する技術。パケット全体は保存しないため軽量で、大規模な通信傾向の把握や異常検知に向く（トランザクションデータの代表例）。
資産管理
組織が保有するハードウェア・ソフトウェアを台帳などで正確に把握・管理すること。何を保有しているか分からなければパッチ適用や脆弱性対応が漏れるため、セキュリティ対策の前提となる基礎的な活動。
前提: 脅威と脆弱性
脆弱性管理
組織のシステムに存在する脆弱性を継続的に特定・評価し、深刻度に応じて優先順位をつけて修正・緩和していく一連のプロセス。スキャンによる特定、CVSS等での評価、パッチ適用やハードニングによる対応、再確認までを繰り返す。
脅威モデリング
アプリやシステムの設計段階で「どこが・どう攻撃されうるか」を体系的に分析する手法。business-critical なアプリの脅威を洗い出し、対策を設計へ織り込む（DevSecOps のシフトレフトの一部）。
脅威防御と脅威インテリジェンス
攻撃の検知・分析・対応を支える仕組み。Microsoft Defender XDR が複数の領域のシグナルを統合し、拡張検知と対応（XDR）を提供する。
前提: 脅威と脆弱性
5-tuple
送信元IPアドレス・宛先IPアドレス・送信元ポート・宛先ポート・プロトコルの5つの値の組み合わせ。1つの通信フロー（コネクション）を一意に識別する基本単位で、ログやNetFlowレコードから侵害されたホストや通信を特定する出発点になる。
関連: NetFlow
偽陽性・偽陰性・真陽性・真陰性（アラートの判定）
アラートの正誤を評価する4分類。真陽性（TP）は実際に脅威があり正しくアラートが出た場合。真陰性（TN）は脅威がなく正しくアラートが出なかった場合。偽陽性（FP）は脅威がないのにアラートが出てしまう誤検知で、多いとアナリストの疲弊（アラート疲れ）を招く。偽陰性（FN）は実際の脅威をアラートが検知できず見逃した場合で、最も危険な判定ミス。
前提: 脅威と脆弱性
マルウェア解析（リバースエンジニアリング）
検体を安全な環境で実際に動かして挙動を観察する動的解析と、逆アセンブル・逆コンパイルによりコードそのものを解析する静的解析（リバースエンジニアリング）を組み合わせ、マルウェアの機能・通信先・侵害範囲を明らかにする作業。SOCアナリストは解析結果からIoCを抽出し検知ルールへ反映する。
監視データの種類（フルパケットキャプチャ・セッション・トランザクション・メタデータ・アラート）
フルパケットキャプチャはペイロードまで含む全内容を保存し詳細だが容量が大きい。セッションデータ（NetFlow等のフローデータ）はフロー単位の要約（誰と誰がいつ・どれだけ・どのポートで通信したか）を記録する。トランザクションデータはHTTPリクエストやDNSクエリなどアプリケーション層のやり取りそのものの記録。メタデータは通信そのものではなく付随する属性情報。アラートデータはIDS/IPS等が検知結果として生成する通知。目的に応じてどのデータ型を参照すべきかを判断する。
関連: NetFlow
PSIと知的財産（IP）
ネットワークで保護すべきデータの分類。試験ではPII（個人情報）・PHI（医療情報）・PSI・IP（知的財産）が挙げられる。PSIは機密性の高い情報を指す保護区分で、その頭字語の展開は教材により一定でない（個人のセキュリティ情報や決済関連情報などと説明される）。決済カード情報を扱う場合は、正式にはPCI DSSが規定する「カード会員データ（CHD＝カード番号PAN・有効期限等）」の語で扱うのが正確。IP（知的財産）は特許・商標・企業秘密・独自技術情報など組織が権利を持つ無形資産。いずれも漏洩時の影響が大きく、分類・アクセス制御・暗号化の対象となる。
SOC指標（検知・封じ込め・対応までの時間）
SOCの有効性を測る代表的な指標群。Time to Detect（脅威発生から検知までの時間）、Time to Contain（検知から封じ込めまでの時間）、Time to Respond（検知から対応完了までの時間）等があり、これらを短縮することがSOC運用改善の主要な目標になる。
前提: 脅威と脆弱性
脅威アクター
攻撃を実行する主体の分類。愉快犯・技術力の低いスクリプトキディ、政治的主張を目的とするハクティビスト、金銭目的の組織的犯罪集団、国家の支援を受けAPT攻撃を行う国家的アクター、正規の権限を悪用する内部関係者（インサイダー）などに分けられ、能力や目的により防御側の優先度判断が変わる。
前提: 脅威と脆弱性
ダイヤモンドモデル
1件の侵入をインシデントとして分析する際に、敵（Adversary）・能力（Capability）・インフラ（Infrastructure）・被害者（Victim）の4要素とその関係性で捉えるフォレンジック分析モデル。サイバーキルチェーンが時系列の段階を追うのに対し、ダイヤモンドモデルは1つの攻撃イベントの構成要素間の関係に着目する。
前提: サイバーキルチェーン
機密データ保護（PII / マスキング）
PII（個人を特定できる情報）や PHI などの機密データを守る運用。Macie で検出・分類し、暗号化・アクセス制御・最小化で保護。マスキング/トークン化で値を秘匿し、データ分類に応じて扱いを変える。ログへの機密混入も防ぐ。
サイバーキルチェーン
標的型攻撃の一連の流れを「偵察→武器化→配送→攻撃→インストール→遠隔操作（C&C）→目的の実行」の段階に分けて整理するモデル。各段階で有効な防御策を検討し、どこで攻撃を断ち切れるかを分析するために用いられる。
コマンドインジェクション
Webアプリの入力欄経由で、意図しないOSコマンドをサーバー上で実行させてしまう攻撃手法。入力値をそのままシェルコマンドの一部として渡してしまう実装が原因で、入力値の検証や、シェルを介さないAPI呼び出しへの置き換えで防止する。同種の攻撃であるSQLインジェクションやクロスサイトスクリプティング（XSS）と並び、入力値のサニタイズ不足が根本原因となる。
任意アクセス制御（DAC）
情報の所有者が自らの裁量で、誰にどのアクセス権を与えるかを決められるアクセス制御方式。柔軟だが所有者の判断ミスや不注意な権限付与に弱く、システムが一元的に強制する強制アクセス制御（MAC）と対をなす。
関連: 強制アクセス制御（MAC）
SQLインジェクション
Webアプリケーションの入力欄に不正なSQL文の断片を注入し、データベースを意図しない形で操作・閲覧させる攻撃手法。バインド機構（プレースホルダ）の利用や入力値の検証で防止する。
クロスサイトスクリプティング（XSS）
脆弱なWebサイトに悪意あるスクリプトを埋め込み、閲覧者のブラウザ上でそれを実行させる攻撃手法。Cookie窃取や画面偽装などにつながる。出力時のエスケープ処理（サニタイズ）が基本的な対策。
サンドボックス（マルウェア検証）
メール添付ファイルなど未知の実行ファイルを、本番環境から隔離された仮想環境（サンドボックス）内で実際に動作させ、不審な挙動を示さないか安全に検証する仕組み。パターンマッチング検知をすり抜けるマルウェアでも、実行前に無害な環境で挙動を確認できる点が価値だが、近年はサンドボックス内での実行を検知して活動を偽装するサンドボックス回避型マルウェアへの対応も課題となっている。
NIST SP 800-61とNIST SP 800-86
NIST SP 800-61はインシデント対応（準備→検知・分析→封じ込め・根絶・復旧→事後活動）のライフサイクルを定めるガイドライン。NIST SP 800-86はフォレンジックにおける証拠収集の手順（揮発性の高い順に収集する等）・完全性の保全・保管方法を定めるガイドライン。両者は補完関係にあり、IRの現場ではSP 800-61の手順の中でSP 800-86の証拠取得基準が適用される。
前提: 揮発性データ
揮発性データ
電源が切れたり時間が経過すると消えてしまうデータ（レジスタ・キャッシュ・実行中プロセス・ネットワーク接続状態・メモリ内容等）。フォレンジック調査ではディスク上の永続データより先に、失われやすい揮発性データから優先して収集する（揮発性順の収集）。
Windows Defenderとホストベースファイアウォール
Windows Defender（現在はMicrosoft Defender Antivirusに改称）は、Windowsに標準搭載されているマルウェア対策・脅威検知ソフトウェア。ホストベースファイアウォールは、ネットワーク境界ではなく個々の端末（ホスト）にインストールし、その端末単位で通信を許可・拒否するファイアウォール（Windowsファイアウォール等）。
前提: 脅威と脆弱性
強制アクセス制御（MAC）
情報や利用者に付与された機密区分（ラベル）に基づき、システムが一元的にアクセス可否を強制する方式。情報の所有者であってもポリシーに反して権限を緩められない。所有者の裁量に任せる任意アクセス制御（DAC）と対をなす。
関連: 任意アクセス制御（DAC）
最小権限の原則とRBAC
利用者には業務上必要最小限の権限だけを付与するという最小権限の原則を、個々人にではなく職務・役割（ロール）単位で権限を割り当てて実装する方式がRBAC（ロールベースアクセス制御）。異動・退職時の権限見直しが容易になり、過剰な権限付与によるリスクを抑える。
前提: リスク