CCNA「セキュリティ基礎」練習問題（42問・解説つき）

💡 ポートセキュリティは各ポートで学習するMAC数や特定MACを制限し、違反時にポートを保護します。

💡 標準ACLは送信元IPアドレスのみで判定。送信元/宛先IPやポートまで見るのは拡張ACLです。

💡 SSH(ポート22)は通信を暗号化。Telnetは平文で危険なため、管理にはSSHを使いましょう。

💡 拡張ACLは送信元近くで不要トラフィックを早期遮断。標準ACLは宛先近くが原則です。

💡 WPA2はAES(CCMP)で強固。WEPやTKIPは脆弱で非推奨。最新のWPA3はさらに安全です。

💡 ワイルドカードは0が一致・1が任意を意味します。0.0.0.255は下位8ビットを任意とし/24相当の範囲です。

💡 脆弱性はシステムが持つ弱点そのものです。脅威はその弱点を突こうとする潜在的な危険、エクスプロイトは脆弱性を突く具体的な手段やコードを指します。

💡 アカウンティングはユーザの操作内容や接続時間、使用リソースなどを記録します。認証は本人確認、認可は許可される操作の制御です。

💡 TACACS+はTCP/49を使い、AAAの各機能を分離するためコマンド単位の認可に向きます。RADIUSはUDPでありパケット全体ではなくパスワードのみを暗号化します。

💡 RADIUSはUDP（1812/1813等）を使い、認証と認可を1つのプロセスで結合して扱います。パスワード部分のみ暗号化し、業界標準プロトコルです。

💡 service password-encryptionは設定中の平文パスワードを可逆性のあるType7暗号で隠すだけで、容易に復号可能です。強力な保護にはenable secretのハッシュを使います。

💡 restrictは違反フレームを破棄してログとカウンタを記録しますがポートは稼働を続けます。protectは記録せず破棄のみ、shutdownはポートをerr-disabledにします。

💡 DHCPスヌーピングはポートをtrust/untrustに分類し、untrustポートからのDHCPサーバ応答を遮断して不正DHCPサーバ攻撃を防ぎます。DAIはこのスヌーピングテーブルを使ってARPを検証します。

💡 BPDUガードはPortFastポートでBPDUを受信するとポートをerr-disabledにし、エンドデバイス用ポートへの不正なスイッチ接続やループを防ぎます。

💡 /22はサブネットマスク255.255.252.0。ワイルドカードはこれを反転した0.0.3.255で、172.16.8.0〜172.16.11.255の範囲に一致します。

💡 すべてのACLには末尾に暗黙のdeny anyが存在し、どのエントリにも一致しないトラフィックは破棄されます。

💡 WPA2-Enterpriseは802.1X/EAPとRADIUSサーバを用いてユーザごとに認証します。Personalは共通の事前共有鍵(PSK)を使う方式です。

💡 IPsecは暗号化による機密性、ハッシュによる完全性、ピア認証、シーケンス番号によるアンチリプレイ保護を提供します。

💡 switchport port-security maximum 2 でそのポートで学習・許可するMACアドレスの上限を2に設定します。違反時の動作は別途violationモードで指定します。

💡 番号付き標準ACLは1〜99、拡張範囲として1300〜1999を使用します。100〜199（拡張範囲2000〜2699）は拡張ACLです。標準ACLは送信元IPのみで判定します。

💡 拡張ACLは送信元/宛先IP、プロトコル（TCP/UDP/ICMP等）、ポート番号など複数の要素で細かく判定できます。送信元IPのみで判定するのは標準ACLです。

💡 /26はサブネットマスク255.255.255.192。ワイルドカードはサブネットマスクのビット反転で、255-192=63となり0.0.0.63です。これは下位6ビットを任意とし64アドレス分に一致します。

💡 ワイルドカード0.0.0.0は全ビット一致を意味し、単一ホストに限定されます。これは host 10.1.1.5 と等価です。255.255.255.255（any）は全アドレスに一致します。

💡 標準ACLは送信元IPしか判定できないため、送信元近くに置くと意図しないトラフィックまで遮断する恐れがあります。よって宛先近くに配置するのが原則です。拡張ACLは送信元近くが原則です。

💡 ACLはトップダウンで順に評価され、最初に一致した行のpermit/denyで処理が決まり以降は評価されません。末尾には暗黙のdeny anyがあり、同一インターフェースの同一方向には1つのACLしか適用できません。

💡 仮想端末(vty)回線への接続制限は、line vty モードで access-class <ACL> in を使って適用します。インターフェースの ip access-group とは適用先が異なります。

💡 switchport port-security mac-address sticky で、動的に学習したMACをスティッキーセキュアMACとしてrunning-configに記録します。保存すれば再起動後も維持されます。

💡 shutdownモードの違反でerr-disabledになったポートは、インターフェースで shutdown→no shutdown を実行して手動復旧します（または errdisable recovery で自動復旧）。MACテーブルのクリアでは復旧しません。

💡 DHCPスヌーピングでは、正規DHCPサーバ側のポートを ip dhcp snooping trust で信頼ポートにします。信頼ポートはDHCPサーバ応答(OFFER/ACK等)を許可し、既定の非信頼ポートではサーバ応答を遮断します。

💡 DAIはDHCPスヌーピングのバインディングテーブル(IPとMACの対応)を参照し、ARPのIP-MAC対応が正当かを検査します。よってDAIは通常DHCPスヌーピングと併用します。信頼ポートのARPは検査せず通過させます。

💡 CIAの機密性は、許可された者だけが情報にアクセスでき第三者へ漏えいしないことを保証します。完全性は改ざん防止、可用性は必要なときに使えること、否認防止はCIAの三要素には含まれません。

💡 脆弱性は弱点そのもの、脅威はその弱点が悪用され得る潜在的危険、エクスプロイトは脆弱性を実際に突く手段・コードを指します。緩和(mitigation)はそれらのリスクを低減する対策です。

💡 中間者(Man-in-the-Middle)攻撃は通信の途中に割り込み、双方になりすまして傍受・改ざんを行います。ARPスプーフィングや不正DHCPがその手段となり、DAIやDHCPスヌーピングで緩和できます。

💡 DDoS(分散型サービス妨害)攻撃は多数のボット化端末から一斉に大量トラフィックを送り、対象を過負荷で停止させます。単一の発信元から行うのがDoSです。

💡 ソーシャルエンジニアリングは技術ではなく人の心理や信頼につけ込み、なりすましや偽装で情報を聞き出す攻撃の総称です。フィッシングやプリテキスティングもこれに含まれ、教育で緩和します。

💡 認可(Authorization)は、認証済みユーザがどのコマンドやリソースを利用できるかという権限・範囲を制御します。本人確認は認証、操作記録はアカウンティングです。

💡 RADIUSはUDP(1812/1813等)を使い、認証と認可が一体化、パケット中はパスワードのみを暗号化します。TCP49・全体暗号化・認可分離・コマンド単位認可はTACACS+の特徴です。

💡 login local はローカルのusername/passwordでVTY認証を行わせ、transport input ssh は当該ラインへの接続をSSHのみに限定します。Telnetの平文を避けるための堅牢化の定番です。

💡 サイト間VPNは拠点のゲートウェイ同士でIPsecトンネルを張り、配下の複数ユーザの通信をまとめて保護します。個々の端末がクライアントで接続するのはリモートアクセスVPNです。

💡 GREは任意のプロトコルやマルチキャストをカプセル化して運べますが暗号化はしません。IPsecは機密性・完全性・認証を提供しますがユニキャストIPが基本です。両者を組み合わせるGRE over IPsecが定番です。

💡 WPA3-PersonalはSAE(同等性同時認証、Dragonfly)を用いてPSKを置き換え、捕捉したハンドシェイクからのオフライン辞書攻撃を困難にします。802.1X/EAPはEnterpriseで使う認証サーバ連携方式です。

💡 enable secret はハッシュ化されて保存され、平文の enable password より安全です。両方設定時は secret が優先されます。