CompTIA Security+の範囲を教科書で学ぶスキルツリー｜確認テストつき
対象：CompTIAの
まだ読んでいない 読んだ（このブラウザに記録） 実務の手引き
ドメイン1 配点 12% セキュリティの基本
General Security Concepts
0／131-1機密性・完全性・可用性：機密性・完全性・可用性：会社の情報の「守る3つの軸」 1-2真正性など残りの4つ ：真正性・責任追跡性・否認防止・信頼性：取引先が気にする残りの4つ 1-3情報資産・脅威・脆弱性：情報資産・脅威・脆弱性：リスクを3つに分けて考える 1-7多層防御：多層防御とセキュリティバイデザイン：1つ破られても止まる作り 3-1暗号の基本 ：暗号の基本：共通鍵暗号と公開鍵暗号、ハイブリッド暗号 3-2ハッシュと改ざん検知 ：ハッシュ関数とメッセージ認証：改ざんを見つける仕組み 3-3デジタル署名：デジタル署名とタイムスタンプ：誰がいつ作ったかを証明する 3-4PKIと証明書 ：PKIとデジタル証明書：サイトの鍵マークの裏側 3-5鍵管理と暗号化 ：鍵管理と暗号化：ストレージ暗号化・ファイル暗号化・危殆化 4-18物理的な対策 ：物理的な対策：入退室管理・クリアデスク・機器の処分 6-4管理策の分け方 ：管理策の分け方：組織的・人的・物理的・技術的、予防・検知・是正 9-9BCPとBIA ：事業継続計画（BCP）とBIA：止まってはいけない業務を決める 9-10RTO・RPO：RTO・RPO：何時間で、どの時点まで戻すか
ドメイン2 配点 22% 脅威・脆弱性と対策
Threats, Vulnerabilities, and Mitigations
0／171-6攻撃者と目的 ：攻撃者は誰で、何が目的か：金銭・ハクティビズム・国家 2-1マルウェアの種類 ：マルウェアの種類：ウイルス・ワーム・トロイの木馬・ボット・RAT 2-2ランサムウェア：ランサムウェアと二重脅迫、RaaS：いま一番多い被害の仕組み 2-3見つかりにくいマルウェア：ファイルレスマルウェア・ルートキット・バックドア：見つかりにくい手口 2-4パスワードを破る攻撃 ：パスワードを破る攻撃：辞書・総当たり・リスト型 2-5フィッシング：フィッシングとスミッシング：偽サイトに入力させる手口 2-6AitB・中間者攻撃：AitB・MITB・中間者攻撃：多要素認証をすり抜ける手口 2-7ビジネスメール詐欺：ビジネスメール詐欺（BEC）：振込先の変更を装う手口 2-8標的型攻撃：標的型攻撃・水飲み場型攻撃・APT：特定の会社を狙う手口 2-9人をだます手口 ：ソーシャルエンジニアリング：人をだます手口とサポート詐欺 2-10Webサイトへの攻撃① ：Webサイトへの攻撃①：SQLインジェクション・OSコマンドインジェクション 2-11Webサイトへの攻撃② ：Webサイトへの攻撃②：XSS・CSRF・クリックジャッキング・ディレクトリトラバーサル 2-12通信を狙う攻撃 ：通信を狙う攻撃：DNSキャッシュポイズニング・セッションハイジャック・リプレイ攻撃 2-13DoS・DDoS攻撃 ：DoS・DDoS攻撃：サービスを止める攻撃 2-14ゼロデイ攻撃：ゼロデイ攻撃と機能の悪用：パッチがない間を狙う 2-15侵入から被害までの流れ ：攻撃の準備とラテラルムーブメント、サイバーキルチェーン：侵入から被害までの流れ 2-16AIを悪用した攻撃 ：AIを悪用した攻撃：ディープフェイク・プロンプトインジェクション・敵対的サンプル
ドメイン3 配点 18% セキュリティの設計
Security Architecture
0／84-1TLS・HTTPS・SSH：TLS・HTTPS・SSH：通信を暗号化する仕組み 4-2VPNとIPsec ：VPNとIPsec：社外から安全につなぐ仕組みと、VPN機器が狙われる理由 4-3無線LANのセキュリティ ：無線LANのセキュリティ：WPA2・WPA3と社内Wi-Fiの分け方 4-4ファイアウォール・WAF ：ファイアウォール・WAF・IDS・IPS・UTM：役割の違い 4-5ネットワークを分ける ：DMZ・検疫ネットワーク・認証VLAN：ネットワークを分けて守る 4-15クラウドの守り ：クラウドのセキュリティ：責任共有モデルと設定ミス 4-16IoT機器：IoT機器のセキュリティ：複合機・カメラ・ルーター 12-2ゼロトラスト：ゼロトラストの考え方と設計
ドメイン4 配点 28% セキュリティの運用
Security Operations
0／282-15侵入から被害までの流れ ：攻撃の準備とラテラルムーブメント、サイバーキルチェーン：侵入から被害までの流れ 3-6多要素認証：多要素認証と多段階認証：何を組み合わせると強いか 3-7パスキー：パスワードレス認証（FIDO・パスキー）とリスクベース認証 3-8生体認証：生体認証：本人拒否率と他人受入率の考え方 3-9シングルサインオン：シングルサインオンとアクセス管理：アカウントを1か所で管理する 4-6メールの送信元認証 ：メールの送信元認証：SPF・DKIM・DMARC 4-7メール暗号化と迷惑メール ：メールの暗号化と迷惑メール対策：S/MIME・PGP・OP25B 4-8Webサイトの守り方 ：Webサイトの守り方：セキュアプログラミングとWAF 4-9データベースの守り ：データベースのセキュリティ：暗号化・アクセス制御・ログ 4-10端末を守る ：端末を守る：EDR・マルウェア対策ソフト・MDM 4-11情報漏えいを防ぐ ：情報漏えいを防ぐ：DLP・データマスキング・匿名化 4-12ログを集めて見る ：ログを集めて見る：SIEMとログ管理 4-13脆弱性管理：脆弱性管理：パッチ適用・SBOM・CVSS 4-14脆弱性診断：脆弱性診断とペネトレーションテスト：何を頼めば何が分かるか 4-17AIとセキュリティ ：AIを使った守り（AI for Security）とAIそのものの守り（Security for AI） 7-1アカウントと権限 ：アカウントと権限の管理：最小権限・棚卸し・退職者の削除 7-2パスワードのルール ：パスワードのルール：長さ・使い回し・管理ツール 7-3バックアップの運用 ：バックアップの運用：3-2-1ルール・世代管理・復元の練習 7-4マルウェア対策の運用 ：マルウェア対策の運用：定義ファイル・検知時の流れ 7-5パッチ適用の運用 ：パッチ適用の運用：どの順で、いつまでに当てるか 7-6ログの取得と監視 ：ログの取得と監視：何を、どれだけ保管するか 9-1インシデントの流れ ：インシデントハンドリングの流れ：検知・トリアージ・対応・報告 9-2初動：初動：切り離す・残す・知らせる 9-3原因の切り分け ：原因の切り分けと復旧：ログとアクセス記録の読み方 9-4証拠保全：証拠の保全とデジタルフォレンジックス 9-5再発防止策：再発防止策の書き方：業務手順の見直しまで 9-7CSIRT・SOC：CSIRT・PSIRT・SOC：小さな会社の体制 12-1セキュアな設計・開発 ：セキュアな設計・開発：脅威モデリングとセキュアSDLC
ドメイン5 配点 20% プログラムの管理と監督
Security Program Management and Oversight
0／245-1情報資産台帳：情報資産台帳のつくり方：何がどこにあるかを書き出す 5-2リスクの種類 ：リスクの種類：財産損失から地政学リスク、サプライチェーンリスクまで 5-3リスクアセスメント：リスクアセスメントの手順：特定・分析・評価とリスクマトリックス 5-4リスク対応の4つ ：リスク対応の4つ：回避・低減・共有（移転）・保有 5-5サイバー保険：サイバー保険の選び方と使い方 5-6残留リスク：残留リスクとリスクの受容：経営者に判断してもらう書き方 6-1セキュリティポリシー ：情報セキュリティポリシーの体系：方針・対策基準・実施手順 6-2必要な規程の一覧 ：会社に必要な規程の一覧：情報管理・インシデント対応・SNS利用など 6-3ISMS：ISMS（ISO/IEC 27001）とは：認証を取る会社・取らない会社 6-5CSF：サイバーセキュリティフレームワーク（CSF）：識別・防御・検知・対応・復旧 6-8PCI DSS・ISMAP：PCI DSSとISMAP：業界ごとの基準 6-10監査と内部統制 ：監査と内部統制：情報セキュリティ監査・内部監査・自己点検 7-9運用状況の点検 ：運用状況の点検：月1回のセルフチェック 7-10社員教育と訓練 ：社員教育と標的型メール訓練 7-11内部不正を防ぐ ：内部不正を防ぐ：ガイドラインと状況的犯罪予防 7-12シャドーITと生成AI ：シャドーITと生成AIの社内ルール 8-1委託先の調査 ：委託先を選ぶ前の調査：何を確認するか 8-2委託契約とNDA ：委託契約とNDA：準委任・請負・守秘義務 8-3委託の終了 ：委託の終了：検収・データの消去・返却 8-4クラウドの選び方 ：クラウドサービスを選ぶときの確認項目 8-5サプライチェーン：サプライチェーンリスク：取引先経由で被害が広がる仕組み 8-6チェックシート：取引先のセキュリティチェックシート：設問の読み方と答え方 10-1個人情報保護法：個人情報保護法：安全管理措置と漏えい時の報告義務 10-9GDPRと海外 ：GDPRと海外の個人情報のルール
この試験の形式と勉強の順番
試験の
学んだことを、取引先への回答にそのまま使う
Moshiruは、