Cisco Certified Support Technician: Cybersecurity（CCST Cybersecurity） のナレッジマップ
Cisco Certified Support Technician: Cybersecurity（CCST Cybersecurity） の主要概念 50 件と、そのつながり。上のマップでノードをクリックすると関連用語や前提をたどれます。下は全概念の索引で、定義と「前提・関連する概念」への内部リンクを掲載しています。
概念一覧（50）
脅威と脆弱性
脅威は情報資産に損害を与える可能性のある要因（不正アクセス・災害・人的ミスなど）を指し、脆弱性はその脅威につけ込まれる情報資産側の弱点（設定不備・パッチ未適用・管理体制の不備など）を指す。リスクは「脅威が脆弱性を突いて損害が生じる可能性」として両者の組み合わせで捉え、脆弱性をなくせば脅威が存在してもリスクは顕在化しにくくなる。
リスク
脅威が脆弱性を突いて実際に損害が発生する可能性。一般に「発生確率×影響度」で捉えられ、脆弱性が存在するだけではリスクは生じず、それを悪用しうる脅威と組み合わさって初めて評価対象になる。
前提: エクスプロイト
関連: 脅威と脆弱性
ファイアウォール
通信を許可・拒否のルールに従って制御する仕組み。Linux では iptables／firewalld で実現し、クラウド環境ではセキュリティグループなどとして提供される。
マルウェア
ウイルス・ワーム・トロイの木馬・ランサムウェアなど、利用者に害を及ぼすことを目的として作られた悪意あるソフトウェアの総称。感染経路はメール添付・不正サイトの閲覧・USBメモリなど多岐にわたる。
関連: ランサムウェア
中間者攻撃（Man-in-the-Middle）
通信を行う二者の間に攻撃者が割り込み、双方には正規の相手と直接通信しているように見せかけながら、通信内容の盗聴・改ざんを行う攻撃の総称。ARPスプーフィングや不正DHCPサーバによるゲートウェイ偽装、DNSキャッシュポイズニングなどが手口となる。相互認証（デジタル証明書の検証等）や経路の暗号化・完全性保護で対策する。
前提: デジタル証明書、CIA（機密性・完全性・可用性）、DNSキャッシュポイズニング
関連: ARPスプーフィングと対策
エクスプロイト
脆弱性を実際に悪用し、意図しない動作（不正アクセス・権限奪取・サービス停止等）を引き起こすための具体的な手段・コード。脆弱性が「弱点」であるのに対し、エクスプロイトはその弱点を突く「攻撃の実行手段」に当たる。
関連: 脅威と脆弱性
脆弱性管理
組織のシステムに存在する脆弱性を継続的に特定・評価し、深刻度に応じて優先順位をつけて修正・緩和していく一連のプロセス。スキャンによる特定、CVSS等での評価、パッチ適用やハードニングによる対応、再確認までを繰り返す。
Windows Defenderとホストベースファイアウォール
Windows Defender（現在はMicrosoft Defender Antivirusに改称）は、Windowsに標準搭載されているマルウェア対策・脅威検知ソフトウェア。ホストベースファイアウォールは、ネットワーク境界ではなく個々の端末（ホスト）にインストールし、その端末単位で通信を許可・拒否するファイアウォール（Windowsファイアウォール等）。
CVSS（深刻度）
Common Vulnerability Scoring System。脆弱性の深刻度を数値化する標準。優先順位付けでは EPSS（悪用確率）や到達可能性・資産重要度と併用する。
ボットネット
マルウェア（ボット）に感染した多数の機器がC&Cサーバの指令下で一斉に制御されるネットワーク。DDoS攻撃やスパム送信、情報窃取の踏み台として悪用される。感染機器はコネクトバック通信で指令を待ち受ける。
前提: マルウェア
資産管理
組織が保有するハードウェア・ソフトウェアを台帳などで正確に把握・管理すること。何を保有しているか分からなければパッチ適用や脆弱性対応が漏れるため、セキュリティ対策の前提となる基礎的な活動。
前提: 脅威と脆弱性
バックアップ
データの破損・消失や機器の故障に備えて、データの複製を別の場所や媒体に保存しておくこと。障害が起きても、保存しておいた複製から復旧（リストア）できる。定期的に取得し、原本とは別の場所に保管することが重要とされる。
フィッシング
実在する企業や金融機関になりすました偽のメールやWebサイトへ誘導し、ID・パスワードやクレジットカード情報などを盗み取る詐欺の手口。URLやドメインをよく確認することが対策の基本。
脅威防御と脅威インテリジェンス
攻撃の検知・分析・対応を支える仕組み。Microsoft Defender XDR が複数の領域のシグナルを統合し、拡張検知と対応（XDR）を提供する。
前提: 脅威と脆弱性
攻撃ベクトル
攻撃者がシステムやネットワークへ不正に侵入・攻撃するために利用する経路や手段。フィッシングメール、脆弱なパスワード、パッチ未適用のソフトウェア、USBメモリなど、攻撃の「入り口」となるものを指す。
前提: フィッシング
BYOD
従業員が私物のスマートフォンやノートPCを業務にも利用する運用形態（Bring Your Own Device）。コスト削減や利便性の一方、組織が管理しきれない端末が社内データにアクセスするリスクが生じるため、MDMによる管理やアプリ配布・暗号化の要件を課すことが多い。
前提: リスク
DHCPスタベーション
攻撃者が大量の偽装したMACアドレスでDHCPサーバーにIPアドレスを要求し尽くし、正規の端末にアドレスを払い出せなくするDoS攻撃。対策として、スイッチのポートごとにDHCP要求数を制限したりDHCPスヌーピングを使う。
ハードニング
不要なサービスの停止、初期パスワードの変更、最新パッチの適用、最小権限の徹底などにより、システムの攻撃対象領域（アタックサーフェス）を減らし攻撃を受けにくくする作業。
マルウェア除去
感染が疑われる端末に対し、まず被害拡大を防ぐため端末をネットワークから隔離し、ウイルス対策ソフトでフルスキャンを実行して検出されたマルウェアを隔離・削除する一連の対応。スキャンログで検出内容と対処結果を確認し、除去後は再感染の有無を確認する。深刻な場合はOSの再インストールや信頼できるバックアップからの復旧など、より強い修復手段を検討する。
権限昇格
攻撃者や不正なプロセスが、本来割り当てられている以上の権限（一般ユーザーから管理者権限など）を不正に獲得する行為。OSやアプリの脆弱性、設定不備を突いて行われ、獲得後はシステム全体への影響力を持つため深刻度が高い。
前提: 脅威と脆弱性
能動的偵察・受動的偵察
攻撃対象について情報収集する偵察行為。能動的偵察はポートスキャン等で対象へ直接通信を送り応答から情報を得る手法で検知されうる一方、受動的偵察は公開情報（企業サイト・SNS・DNS登録情報等）の収集にとどまり対象に気付かれにくい。
前提: ポートスキャン
デジタル証明書
認証局（CA）が発行する、公開鍵とその所有者を結び付けて正当性を保証する電子的な証明書。Webサーバーの証明書はブラウザがHTTPS接続時に検証し、なりすまされたサイトでないことを確認する。
前提: 公開鍵暗号（非対称）
関連: PKIと認証局
CIA（機密性・完全性・可用性）
情報セキュリティの3要素：機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）。
DNSキャッシュポイズニング
キャッシュDNSサーバに偽の名前解決結果を注入し、利用者を攻撃者の用意した偽サイトへ誘導する攻撃。正規の権威DNSサーバからの応答より先に、推測したトランザクションIDや送信元ポート番号を持つ偽の応答を送りつけてキャッシュさせる。対策はソースポートのランダム化やトランザクションIDのランダム化、DNSSECによる応答の署名検証。
ポートスキャン
対象ホストの各ポートへパケットを送り、応答の有無やその内容から開いている（稼働中サービスがある）ポートを調べる偵察行為。攻撃者は攻撃対象の探索・脆弱性のある稼働サービスの特定に用い、TCP SYNスキャンなど完全な接続を確立しない手法は検知を回避しやすい。IDS/IPSやログ監視で単位時間あたりの接続試行数の異常として検知する。
前提: 脅威と脆弱性
ランサムウェア
感染したPCやサーバー内のファイルを暗号化して使用不能にし、復号と引き換えに金銭を要求するマルウェア。近年は復号鍵を渡さないだけでなく、窃取したデータの公開を脅す「二重恐喝」の手口が主流になっている。バックアップの取得・分離保管（オフライン化）が有効な対策。
関連: マルウェア
ダイヤモンドモデル
1件の侵入をインシデントとして分析する際に、敵（Adversary）・能力（Capability）・インフラ（Infrastructure）・被害者（Victim）の4要素とその関係性で捉えるフォレンジック分析モデル。サイバーキルチェーンが時系列の段階を追うのに対し、ダイヤモンドモデルは1つの攻撃イベントの構成要素間の関係に着目する。
前提: サイバーキルチェーン
IoT脆弱性
IoT機器に特有の脆弱性。初期パスワードのまま運用される、ファームウェア更新が提供されない・適用されない、限られた処理能力ゆえにセキュリティ機能が簡素、といった理由で侵害されやすく、ボットネットへの組み込みなどに悪用されることが多い。
ネットワークセグメンテーション
ネットワークを複数の小さな区画に分割し、区画間の通信をファイアウォールやVLANで制御する設計。ある区画が侵害されても被害が他の区画へ広がりにくくなり、影響範囲を限定できる。
前提: ファイアウォール
PKIと認証局
PKI（公開鍵基盤）は公開鍵とその所有者を結び付け、なりすましを防ぐための仕組み全体。認証局（CA）が公開鍵に電子証明書を発行し、その正当性を保証することで、初対面の相手とも安全に鍵を交換できる。
前提: 公開鍵暗号（非対称）
関連: デジタル証明書
CVE
Common Vulnerabilities and Exposures。特定の製品/版の個別の脆弱性に付く一意の ID（例: CVE-2024-XXXXX）。脆弱性の「事例」を指す。
前提: 脅威と脆弱性
ポート・接続状態の調査（ss／netstat／netcat）
ソケットやポートの状態を調べる。ss はソケット一覧（netstat の後継。ss -tlnp で TCP の LISTEN をプロセス付きで確認）、netcat（nc）は任意ポートへの接続テスト（nc -zv host 443）。ファイアウォールで落ちているのかサービスが居ないのかを切り分ける。
前提: ファイアウォール
CIDR 表記
IP アドレス範囲を「/24」のようなプレフィックス長で表す記法。/24 は 256 個、/16 は 65,536 個のアドレスを含み、数字が小さいほど範囲が広い。VPC/VNet やサブネットの設計、ルーティングの最長一致判定、ファイアウォールルールの許可範囲指定など、あらゆるクラウドのネットワーク設計の基礎になる。
前提: ファイアウォール
ARPスプーフィングと対策
偽装したARP応答をLANに送り、被害端末のARPテーブルにIPアドレスと攻撃者MACの誤った対応を登録させ、通信を攻撃者経由に中継させる（中間者攻撃の入口）攻撃。対策はスイッチのDHCPスヌーピングで作った正当なIP-MAC対応表を用い、ダイナミックARPインスペクション（DAI）で不正なARPを遮断すること。
DoS攻撃/DDoS攻撃とSYN Flood攻撃
DoS攻撃は単一の攻撃元から大量の要求や不正なパケットを送りつけ、サービスを提供不能にする攻撃。DDoS攻撃は多数の踏み台（ボットネット等）から同時に行う分散型のDoS攻撃で、発信元が分散するため遮断が難しい。SYN Flood攻撃はTCPの3ウェイハンドシェイクを悪用し、SYNパケットだけを大量送信してACKを返さず、サーバ側に大量の接続待ち（半接続）状態を残してリソースを枯渇させるDoS攻撃の代表例。SYN Cookieなどで対策する。
関連: ボットネット
公開鍵暗号（非対称）
公開鍵で暗号化し秘密鍵で復号する（または秘密鍵で署名し公開鍵で検証する）方式。鍵共有問題を解決し、TLS・SSH・コード署名・証明書の基盤になる。共通鍵（対称）より遅いため、実データは対称鍵で暗号化しその鍵を公開鍵で保護する（エンベロープ）。
セキュリティパッチ管理
OSやミドルウェア、アプリケーションに提供される修正プログラム（パッチ）を、脆弱性情報の収集から検証・適用計画・展開・適用確認まで組織的に運用するプロセス。適用の遅れは既知の脆弱性を突かれる直接原因になるため、資産管理台帳との連携が重要。
SIEM
Security Information and Event Managementの略。各所（サーバー・ネットワーク機器・アプリ等）のログやイベントを一元収集し、相関分析して脅威を検知する仕組み。Microsoft Sentinel・Google SecOps・Splunk等の製品がこの役割を担う。
AAA（認証・認可・アカウンティング）
ネットワーク機器やサービスへのアクセス制御を担う3つの機能の総称。認証（Authentication）は利用者が誰かを確認し、認可（Authorization）は確認済みの利用者に何を許可するかを決め、アカウンティング（Accounting）は実行内容を記録する。Cisco機器ではRADIUSやTACACS+をAAAサーバとして利用しこれらを一元管理する。
前提: RADIUS
ACL（アクセス制御リスト）
ルーターやファイアウォールで、送信元/宛先IPアドレスやポート番号などの条件に基づき通信を許可（permit）または拒否（deny）するルールの並び。上から順に照合され、既定では最後に暗黙の拒否が適用される。
前提: ファイアウォール
APT（高度で持続的な脅威）
特定の標的に対し、長期間にわたり気付かれないよう潜伏しながら情報窃取等を続ける高度で持続的な脅威（Advanced Persistent Threat）。国家の支援を受けた攻撃者集団が関与することが多く、単発の攻撃と異なり執拗さと高度な技術力を特徴とする。
前提: 脅威と脆弱性
RPO（目標復旧時点）
障害発生時に「どの時点のデータまで復旧できればよいか」を示す目標値。バックアップの頻度で決まり、値が小さいほど許容できるデータ損失が少ない。RTO（復旧までの時間）とは異なる指標。
前提: バックアップ
シスログとシスログ集約
Syslogは機器のイベント・エラー等のログをUDP/TCP 514番等で標準化された形式（ファシリティ・重大度レベルを含む）で送信するプロトコル。多数の機器から出力されるログを1台のシスログサーバに集約（一元収集）することで、横断的な相関分析・障害の時系列突き合わせ・長期保存によるコンプライアンス対応が可能になる。UDP利用時は再送保証がなく、ログ欠落のリスクがある点に注意が必要。
前提: リスク
サイバーキルチェーン
標的型攻撃の一連の流れを「偵察→武器化→配送→攻撃→インストール→遠隔操作（C&C）→目的の実行」の段階に分けて整理するモデル。各段階で有効な防御策を検討し、どこで攻撃を断ち切れるかを分析するために用いられる。
RADIUS
認証・認可・アカウンティング（AAA）を集中管理するプロトコル。無線LANやVPN、IEEE802.1X環境で認証サーバとして用いられ、利用者ごとの認証情報を一元管理してネットワークアクセスを制御する。
内部不正
従業員や委託先など組織内部の関係者が、正規の権限を悪用して情報を持ち出す・改ざんする・システムを妨害するなど意図的に引き起こす不正行為。外部からの攻撃より検知しづらく、動機（不満・金銭）と機会（過剰な権限）と正当化の3要素（不正のトライアングル）で説明されることが多い。アクセスログの監視や職務分掌が対策の柱。
前提: 脅威と脆弱性
リスク対応（低減・回避・移転・受容）
リスクアセスメントの結果に基づき取る4つの対応方針。低減＝管理策の導入で発生可能性や影響度を下げる、回避＝リスクの原因となる活動自体をやめる、移転＝保険や委託で第三者にリスクを移す、受容＝許容範囲内として対策せず受け入れる。コストと効果のバランスで選択する。
前提: リスク
SOAR
Security Orchestration, Automation and Responseの略。SIEMなどで検知されたアラート後の対応（調査・封じ込め・通知）をプレイブックで自動化・オーケストレーションする仕組み。アナリストの反復作業を減らし対応時間を短縮する。
前提: SIEM