CCNA Cybersecurity（Cisco・試験200-201）参考書

セキュリティの目的を測る三本柱機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）（CIAトライアド）と、単一の防御に依存しない多層防御（defense-in-depth）を、「このインシデントで損なわれたのはCIAのどれか」「どこに層を足せば止まったか」という現場判断として学びます。

ネットワーク型・エンドポイント型・アプリケーション型のセキュリティ配備、エージェント有無（agent-based / agentless）、レガシーAV対NGAV、そしてSIEM・SOAR・ログ管理の役割分担、さらにコンテナ/仮想化とクラウド環境での可視性の違いを、「この可視性の穴をどの配備で埋めるか」という判断として学びます。

脅威インテリジェンス（threat intelligence）・脅威ハンティング（threat hunting）・マルウェア解析・脅威アクター（threat actor）・リスクベース分析（RBA）・リバースエンジニアリング・スライディングウィンドウ・脅威モデリング・DevSecOpsという運用の中核用語を、「この状況で使うべき考え方・活動はどれか」という判断として学びます。

混同されがちな脅威（threat）・脆弱性（vulnerability）・エクスプロイト（exploit）・リスク（risk）の関係を厳密に区別し、「この対策は4つのどこに効くのか」「残っているのはどれか」という判断として学びます。リスク＝脅威が脆弱性を突く可能性×影響という関係が軸です。

任意アクセス制御（DAC）・強制アクセス制御（MAC）・ロールベース（RBAC）・属性ベース（ABAC）・ルールベース・時間ベースという制御モデルと、AAA（認証・認可・アカウンティング）の枠組みを、「この要件（誰が何をいつ許可されるべきか）にどのモデルが合うか」という判断として学びます。

脆弱性の深刻度を測るCVSSのメトリクス（攻撃元区分（AV）・攻撃条件の複雑さ（AC）・必要な権限（PR）・ユーザ関与（UI）・スコープ（S）＋時間（temporal）・環境（environmental））と、ログから侵害ホストを特定する5-tuple、そしてルール/シグネチャベースとふるまい/統計ベースの検知の違いを、SOCのトリアージ判断として学びます。

攻撃対象領域（アタックサーフェス）と脆弱性の関係を押さえ、tcpdump（フルパケット）・NetFlow（フロー統計）・NGFW・ステートフルファイアウォール・AVC（アプリケーション可視性と制御）・Webフィルタリング・メールフィルタリングが「何を見せてくれる技術か」を、SOCアナリストが監視データを選ぶ判断として学びます。

ACL・NAT/PAT・トンネリング・TOR・暗号化・P2P・カプセル化・ロードバランシングが、監視やログの読み取りをどう難しくするかを学びます。IPの書き換えや暗号化で5-tupleや中身が見えなくなる現場を想定し、可視性が落ちたときにアナリストがどこで相関を取り直すかを判断します。

フルパケットキャプチャ・セッションデータ・トランザクションデータ・統計データ・メタデータ・アラートデータという監視データ型を、「どの問いにどのデータが答えるか」「保持コストと調査深度のトレードオフ」の観点で使い分ける判断を学びます。

プロトコルベース攻撃・DoS・DDoS・中間者（MITM）といったネットワーク攻撃と、SQLインジェクション・コマンドインジェクション・クロスサイトスクリプティング（XSS）といったWebアプリ攻撃を、ログ/pcap/リクエストの痕跡からどの攻撃かを識別する判断として学びます。

人を欺くソーシャルエンジニアリング（手動および生成AIの悪用）、エンドポイントを侵すバッファオーバーフロー・C2・マルウェア・ランサムウェア、そして検知をかいくぐるトンネリング・暗号化・プロキシによる回避手法を、兆候から見抜く判断として学びます。

PKIによる公開鍵の真正性、対称（高速・共有鍵）と非対称（鍵配送）の使い分け、そしてTLSで交渉される暗号スイート・X.509証明書・鍵交換・プロトコルバージョン・PKCSという証明書の構成要素を、監視で「この暗号通信は安全か・改ざんされていないか」を判断する視点で学びます。

ホスト上で動くHIDS（ホスト型IDS）・アンチマルウェア/アンチウイルス（AV）・ホストファイアウォールの役割と、検知の土台であるシグネチャ/ルールベースと振る舞い/予測（予測AI）ベースの違いを、「このアラートはどの技術が捉えたのか」「既知/未知の脅威にどの手法が効くのか」というSOCの判断として学びます。

調査シナリオで意味を持つWindowsの構成要素（プロセス/サービス・レジストリ・イベントログ・スケジュールタスク・tasklist/netstat）とLinuxの構成要素（プロセス/デーモン・systemd・/etc 設定・/var/log ログ・cron・ps）を対応づけ、「この痕跡はどのOSのどこを見れば分かるか」という調査判断として学びます。

調査における帰属（アトリビューション）の役割と対象——保護すべき資産、脅威アクター、既に侵害された痕跡であるIoC（侵害指標）、進行中の攻撃の兆候であるIoA（攻撃指標）、そして証拠の信頼性を支える証拠保全の連鎖（chain of custody）——を、「この痕跡は事後か進行中か」「証拠として通用させるには何を記録するか」という判断として学びます。

与えられたログから証拠の種別を見分ける——事実を最も直接に立証する最良証拠（best evidence）、他の証拠を補強する補強証拠（corroborative evidence）、事実を直接には示さず状況から推認させる間接証拠（indirect/circumstantial evidence）——を、「このログは何をどこまで立証できるか」という判断として学びます。

OS・アプリケーション・コマンドラインのログや、SIEM/SOARが集約・自動化する記録からイベントを読み解く力と、検体を隔離環境で実行するデトネーションチャンバ/サンドボックスの概念、そしてその解析出力（ハッシュ・URL・システム/イベント/ネットワーク情報）をIoCとして活用する判断を学びます。

目の前のアラートやログがIDS/IPS・ファイアウォール・NAC・プロキシ・アンチウイルス・NetFlowのどのセンサから来たのかを、イベントの形（署名ID・許可/拒否・認証/ポスチャ・URLカテゴリ・検体名・フロー統計）から即断する技能を、SOCの相関分析の起点として学びます。

アラートの発火と実際の悪性活動の有無を突き合わせ、真陽性（TP）・偽陽性（FP）・真陰性（TN）・偽陰性（FN）・benign（正当だが署名に一致）のどれかを判定する技能を、トリアージの優先順位付けと検知チューニングの土台として学びます。FNが最も危険、FPはアラート疲れの原因という運用上の重みも押さえます。

パケットフィルタリング（ステートレス）・ステートフル検査・ディープパケットインスペクション（DPI）という検査の深さの違いと、インライン対タップ/SPAN（遮断できるか・経路に影響するか）、フルパケットキャプチャ（タップ）対トランザクショナル（NetFlow）（ペイポードを持つか・軽量に長期保持できるか）を、「この目的にはどの方式が適切か」という設計判断として学びます。

キャプチャしたpcapからTCPストリームを再構成して転送ファイルを抽出する手順（WiresharkのFollow TCP StreamやExport Objects）と、パケットデータから読み取る侵入の要素＝送信元/宛先アドレス・送信元/宛先ポート・プロトコル（5タプル）＋ペイロードを、被害ホストとC2/持ち出し先を特定するSOCの実作業として学びます。

Ethernet/IPv4/IPv6/TCP/UDP/ICMP/DNS/SMTP・POP3・IMAP/HTTP・HTTPS/ARPの各ヘッダ要素から何が読み取れるか、分析の成果物であるアーティファクト（IOC＝ハッシュ・URL・ドメイン・IP・ファイル名等）、そしてログ/ペイロード探索の道具である基本正規表現を、脅威を可視化して次の調査へつなぐ技能として学びます。

守る対象を把握する資産管理、承認された状態を保つ構成管理、モバイル端末を統制するMDM、既知の欠陥を塞ぐパッチ管理、脆弱性を継続的に評価・優先順位付けする脆弱性管理を、「このリスクにはどの管理プロセスで対処するか」という運用判断として学びます。

インシデント対応（IR）計画に含めるべき要素と、NIST SP800-61のライフサイクル（準備／検知・分析／封じ込め・根絶・復旧／事後活動）を、「今この事象はどの段階で、次に何をすべきか」という判断としてマッピングできるように学びます。

組織のステークホルダーをNIST IRカテゴリ（およびCMMCの成熟度観点）に対応づける考え方と、NIST SP800-86が示す証拠収集の順序（揮発性の高い順）・データ完全性・データ保全・揮発データの収集を、「証拠を壊さずに正しく集めるにはどう動くか」という判断として学びます。

正常時のベースラインを確立して逸脱から異常を見つけるプロファイリングを、ネットワークプロファイリング（総スループット・セッション時間・使用ポート・重要資産アドレス空間）とサーバプロファイリング（リスニングポート・ログイン中ユーザ/サービスアカウント・実行中プロセス/タスク・アプリケーション）の要素から学びます。

ネットワーク内で守るべき保護データ（PII・PHI・PSI・知的財産（IP））の識別、侵入を段階/要素で捉えるCyber Kill ChainとDiamond Model、そして対応の速さを測るSOC指標（検知/封じ込め/対応/制御までの時間）を、「この事象をどう分類し、どこを改善するか」という判断として学びます。