Cisco Certified Support Technician: Cybersecurity（CCST Cybersecurity）参考書

弱点である脆弱性、それを悪用しうる脅威、悪用の手段であるエクスプロイト、そして発生確率と影響で測るリスクの区別を土台に、攻撃の入口となる攻撃ベクトル、攻撃面を縮めるハードニング、層で守る多層防御、守るべき3要素CIA、そして攻撃者の種類と倫理規範を、「この状況は脅威かリスクか」を見分ける基礎として学びます。

身代金を要求するランサムウェアを含む各種マルウェア、サービスを止めるDoSと踏み台群のボットネット、人をだますソーシャルエンジニアリング（フィッシング/スピアフィッシング/ビッシング/スミッシング/テールゲーティング）、通信に割り込む中間者攻撃、そしてIoTの弱点・内部脅威・高度で持続的なAPTを、「このメールや症状は何攻撃か」を見分ける基礎として学びます。

「誰か（認証）／何ができるか（認可）／何をしたか（記録）」を担うAAAの3本柱、認証を集中管理するRADIUS、知識・所持・生体など複数の要素で本人性を高める多要素認証（MFA）、そして推測や使い回しを防ぐパスワードポリシーを、「このアクセスは正当か」を判断する基礎として学びます。

同じ鍵で速い対称鍵暗号と、鍵配送を解く非対称鍵暗号の違い、暗号化ではなく完全性を守る一方向のハッシュ、公開鍵の真正性を保証する証明書とPKI、強い/弱いアルゴリズム、そして転送中/保存時/使用中というデータの状態に応じた守り方を、「このデータ状態にどの暗号化か」を選ぶ基礎として学びます。

インターネットを支えるTCP/IPの各プロトコルには、設計当初にセキュリティを想定していなかった弱点があります。偽のMAC応答で通信を乗っ取るARPスプーフィング（MITM）、名前解決を汚すDNSポイズニング、アドレス枯渇や偽サーバのDHCP攻撃、偵察やフラッドに使われるICMP、接続を溢れさせるTCP SYNフラッド、そして盗聴される平文HTTPを、「このパケットの異常は何攻撃か」を識別する視点で学びます。

ネットワークで使う住所——L3のIPv4/IPv6アドレスと、L2で機器固有のMACアドレス——の役割、範囲を/24のように表すCIDR、プライベートIPを共有のグローバルIPに変換するNAT、そして自由に割当できるプライベートアドレスと世界で一意なパブリックアドレスの違いを押さえ、被害を島に閉じ込めるネットワークセグメンテーションという守りの基本を学びます。

守りを多層に組むセキュリティアーキテクチャの考え方と、公開サーバを内部網から隔離する緩衝域DMZ、1台の物理機器上に複数環境を作る仮想化、他社が管理するクラウド、攻撃者を誘い込む囮のハニーポット、通信を代理し検査するプロキシサーバ、そして「検知のみのIDS」と「検知＋遮断のIPS」の違いを、それぞれの役割を識別できるように学びます。

通信を許可/拒否するACL、状態を追って出入りを制御するファイアウォール、経路を暗号化するVPN、接続前に端末の姿勢を確認するNACというセキュアアクセスの技術と、小規模拠点（SoHo）の無線を守る要点——強度が本命の暗号化標準（WPA2/WPA3）と、補助にすぎないMACフィルタリングやSSID非公開——を、それぞれ「主たる守りか補助か」を見分けて学びます。

Windows/macOS/Linuxという主要OSに共通する守りの仕組み——Windows Defenderやホストベースファイアウォール、CLIとPowerShell、ファイル/ディレクトリの権限、そして攻撃者が狙う権限昇格——を、「このエンドポイントは適切に守られているか」を見分ける基礎として学びます。

エンドポイントの状態を調べる3つの定番ツール——通信状態やリッスンポートを見るnetstat、名前解決を確かめるnslookup、実際のパケットを捕まえるtcpdump——を、「この不審な症状はどのツールで確かめるか」を見分ける基礎として学びます。

エンドポイントを「決めごとどおりに」保つ運用——資産管理（ハード/ソフトのインベントリ）、プログラム配布、データバックアップ、規制準拠（PCI DSS/HIPAA/GDPR）、そして私物端末を扱うBYOD——を、「この端末は基準を満たしているか」を見分ける基礎として学びます。

エンドポイントを健全に保ち異常に気づく運用——Windows Updateやアプリ/ドライバ/ファームウェアのパッチ適用、Event Viewerやsyslogによるログの解釈と異常の特定、そしてマルウェアを見つけたときの除去手順（スキャン→ログ確認→修復）——を、「更新は当たっているか」「このログの何が異常か」を見分ける基礎として学びます。

弱点を見つけて直すまでの継続的なサイクルである脆弱性管理（特定→管理→緩和）と、相手に直接触れて調べる能動的偵察・公開情報や観測だけで調べる受動的偵察の違い、そして開いているポートを一覧するポートスキャンや繰り返し作業を機械に任せる自動化を、「どこに穴があり、どう塞ぐか」を組み立てる基礎として学びます。

既知の弱点を共通の名前で参照するCVEと、その深刻度を数値化するCVSS、弱点を集めた脆弱性データベースの用途と限界、そしてセキュリティレポート・ニュース・購読サービス・集合知といった情報源を、「今どの脅威に注目すべきか」を判断する材料として集め・活かす基礎を学びます。

弱点そのものである脆弱性と、発生確率×影響で測るリスクの違い、リスクを低/中/高/極高にランク付けする考え方、そして受容・低減・移転・回避という4つのリスク対応の選び分け、扱うデータ分類が高まるほどリスクも大きくなる関係を、「何をどこまで守るか」を決める判断として学びます。

ITシステムを復旧させる手順に絞ったDRP（災害復旧計画）と、事業全体を止めないための広い計画であるBCP（事業継続計画）の違い、どれだけ早く復旧するかのRTOとどこまでのデータ損失を許すかのRPO、バックアップの役割、そして検知的/予防的/是正的という3種のDRコントロールを、「止まった後、どう立ち直るか」を設計する基礎として学びます。

ログを一箇所に集めて相関分析するSIEMと、検知後の対応を自動化・オーケストレーションするSOARの役割の違い、パケットキャプチャや各種ログといったネットワークデータ監視の対象、そして「これは普段と違う」という不審イベントの識別と、いつエスカレーションすべきかの判断を、監視の入口として学びます。

攻撃を時系列の段階で捉えるCyber Kill Chain、攻撃者の手口をカタログ化したMITRE ATT&CK、事象を4要素で整理するDiamond Modelという帰属の枠組み、攻撃者の戦術・技術・手順を指すTTP、証拠源としてのアーティファクト、そして証拠の真正性を守る証拠保全とchain of custodyを、入門レベルで学びます。

カード情報のPCI-DSS、医療情報のHIPAA、EU個人データのGDPR、教育記録のFERPA、米連邦システムのFISMAという代表的な規制が「どのデータを守るためのものか」の対応関係と、侵害時にどこへ・いつまでに知らせるかという報告/通知要件が、インシデント対応の手順にどう影響するかを、入門レベルで学びます。

「あるべき方針」を示すポリシー、「どう備え・動くか」の計画、「具体的に何をするか」の手順という3つの文書要素の役割の違いと、NIST SP 800-61が示すインシデント対応ライフサイクル——準備→検知/分析→封じ込め/根絶/復旧→事後（教訓）——の各段階と順序を、入門レベルで学びます。