CISSP ドメイン4: 通信とネットワークセキュリティを徹底解説！〜安全なネットワークを理解する〜

はじめに – なぜこのドメインが重要なのか？
ドメイン4の主要なテーマを深掘り
まとめ
このドメインの学習のポイント
演習問題に挑戦！

はじめに – なぜこのドメインが重要なのか？

CISSP学習者の皆さん、こんにちは！

現代のIT環境は、ネットワークなしには成り立ちません。情報システムは常にネットワークを通じて通信しており、その通信路やネットワーク機器のセキュリティは、システム全体のセキュリティを語る上で避けては通れない非常に重要な要素です。

CISSPドメイン4「通信とネットワークセキュリティ」は、まさにこのネットワーク領域のセキュリティに特化したドメインです。ここでは、ネットワークがどのように機能し、どのようなリスクが存在し、それに対してどのようなセキュリティ対策を講じるべきかを体系的に学びます。

このドメインは、ファイアウォールやVPNといった具体的なセキュリティ技術から、OSI参照モデルのような基本的な概念、さらには無線ネットワークやクラウドネットワーキングといった現代的なトピックまで、非常に幅広い範囲をカバーしています。

「ネットワークはちょっと苦手だな…」と感じる方もいらっしゃるかもしれませんが、心配いりません。この記事では、CISSP受験に必要なドメイン4の知識を、分かりやすく、そして親しみやすいトーンで解説していきます。安全なネットワークの仕組みを理解し、試験合格、そして実務でのスキルアップを目指しましょう！

ドメイン4の主要なテーマを深掘り

ドメイン4は多岐にわたる内容を含んでいますが、学習を効果的に進めるために主要なテーマに分けて見ていきましょう。

1. ネットワークアーキテクチャと設計

ネットワークセキュリティを考える上で、まずネットワークがどのように構成され、どのように通信が行われるかの基本的な構造を理解する必要があります。

OSI参照モデルとTCP/IPモデル

これらはネットワーク通信の機能を階層構造で表したモデルです。

OSI参照モデル（Open Systems Interconnection Reference Model）：通信機能を7つの階層に分けて定義したものです（物理、データリンク、ネットワーク、トランスポート、セッション、プレゼンテーション、アプリケーション）。各層が独立した役割を持ち、セキュリティ対策も特定の層に関連付けられることがあります（例：ファイアウォールはネットワーク層やトランスポート層で動作）。理解するための概念的なモデルとして重要です。
TCP/IPモデル：実際にインターネットで広く利用されているプロトコル群に基づいたモデルです（ネットワークインターフェース、インターネット、トランスポート、アプリケーション）。OSIモデルよりも階層数は少ないですが、より実用的です。

これらのモデルを理解することで、どの層でどのような攻撃が可能か、そしてどの層でどのようなセキュリティ対策が有効かを考える基礎ができます。

セキュアなネットワーク設計の概念（セグメンテーション、DMZなど）

ネットワーク全体を安全にするためには、設計段階からの考慮が不可欠です。

ネットワークセグメンテーション：ネットワークを小さな論理的または物理的なセグメントに分割することです。部署ごと、機能ごと、またはリスクレベルごとにネットワークを分けることで、一つのセグメントでの侵害が他のセグメントに広がるのを防ぎ、被害を局所化できます（例：VLANの利用）。
DMZ（Demilitarized Zone）：組織の内部ネットワークと外部ネットワーク（インターネットなど）の間に設置される、非武装地帯のようなネットワーク領域です。Webサーバーやメールサーバーなど、外部に公開する必要のあるサーバーを配置し、内部ネットワークへの直接的なアクセスを防ぎます。DMZ内のサーバーが侵害されても、内部ネットワークへの侵入を困難にするための緩衝地帯として機能します。
セキュアなトポロジー：ネットワークの物理的・論理的な配置を検討する際、冗長性（単一障害点をなくす）、堅牢性、そしてセキュリティ要件を満たすような設計を行います。

2. ネットワークコンポーネントのセキュリティ

ネットワークを構成する様々な機器が持つセキュリティ機能とその役割を理解します。

ファイアウォールとIDS/IPS

ネットワークの境界を守る代表的なセキュリティ機器です。

ファイアウォール（Firewall）：事前に定義されたルールに基づいて、ネットワークトラフィックを許可または拒否します。パケットフィルタリング、ステートフルインスペクション、アプリケーションレベルゲートウェイなど、様々な種類があります。どこに配置するか（境界、内部セグメント間など）も重要です。
IDS（Intrusion Detection System）：ネットワークトラフィックやシステムログを監視し、不正な活動やポリシー違反を検知して管理者に通知します。
IPS（Intrusion Prevention System）：IDSの機能に加え、不正な活動を検知した場合に、そのトラフィックを自動的に遮断またはブロックする機能を持つものです。シグネチャベース（既知のパターンに一致するかで判断）やアノマリベース（通常の挙動からの逸脱で判断）といった検知方式があります。

ルーター、スイッチ、ワイヤレス機器のセキュリティ

これらの基本的なネットワーク機器も、適切な設定がセキュリティには不可欠です。

ルーター（Router）：異なるネットワーク間（例：社内LANとインターネット）でパケットを転送します。アクセスリスト（ACL）を設定することで、特定の通信を許可/拒否するフィルタリング機能を持たせることができます。管理インターフェースの保護も重要です。
スイッチ（Switch）：同一ネットワークセグメント内でフレームを転送します。ポートセキュリティ（許可されたMACアドレス以外の通信を遮断）、VLAN（論理的なネットワーク分割）、スパニングツリープロトコルの保護などがセキュリティ対策として挙げられます。
ワイヤレス機器（Wireless Access Pointなど）：不正アクセスポイントの検出、強力な認証・暗号化（WPA3の利用）、不要なサービスの無効化、管理パスワードの強化などが重要です。

VPNとリモートアクセスセキュリティ

離れた場所から安全にネットワークに接続するための技術です。

VPN（Virtual Private Network）：公衆ネットワーク（インターネットなど）を経由して、プライベートネットワーク間に暗号化されたトンネルを構築し、安全な通信を可能にします。拠点間VPNやリモートアクセスVPNなどがあります。機密性、完全性、および認証を提供します。
リモートアクセスセキュリティ：外部からネットワークにアクセスする際のセキュリティ対策全般を指します。VPNの利用に加え、多要素認証（MFA）の必須化、安全な認証プロトコルの使用、アクセス権限の最小化などが含まれます。

3. セキュアな通信プロトコル

データの送受信に使用されるプロトコル自体にセキュリティ機能が組み込まれているものや、セキュリティ機能を追加するプロトコルがあります。

IPsec, SSL/TLS, SSHなどの基本

IPsec（Internet Protocol Security）：IP層（ネットワーク層）で動作し、通信パケット単位での認証と暗号化を提供します。VPNなどで広く利用されます。認証ヘッダー（AH）と暗号化ペイロード（ESP）という主要なプロトコルがあります。
SSL/TLS（Secure Sockets Layer / Transport Layer Security）：主にトランスポート層とアプリケーション層の間で動作し、アプリケーションデータの暗号化と認証を提供します。Webブラウジング（HTTPS）、メール（SMTPS）、VPN（SSL-VPN）など、幅広いアプリケーションで利用されます。HTTPSでブラウザのアドレスバーに鍵マークが表示されるのはTLSによるものです。
SSH（Secure Shell）：ネットワーク経由で別のコンピューターに安全にログインしたり、ファイルを安全に転送したりするためのプロトコルです。TelnetやFTPといった安全でないプロトコルの代替として広く利用されています。

4. ワイヤレスネットワークセキュリティ

有線ネットワークとは異なるリスクが存在するため、ワイヤレス固有のセキュリティ対策が必要です。

Wi-Fiセキュリティ規格（WPA2/WPA3）

Wi-Fi通信の暗号化と認証に関する規格です。

WEP（Wired Equivalent Privacy）：初期の規格で、深刻な脆弱性があるため現在では使用すべきではありません。
WPA（Wi-Fi Protected Access）：WEPの脆弱性を改善した暫定的な規格です。
WPA2：現在の主流の規格で、強力な暗号化アルゴリズムAESと認証方式（主にPSKまたは802.1X）を使用します。CISSP試験では、WPA2が安全な無線通信のベースラインとして扱われることが多いです。
WPA3：WPA2の後継となる最新規格で、パスワード推測攻撃への耐性強化や、オープンネットワークでの個別の暗号化など、セキュリティがさらに強化されています。

認証プロトコル（802.1X, EAP）

ワイヤレスネットワークへのアクセス時にユーザーやデバイスを認証するためのプロトコルです。

802.1X：ネットワークへの物理的または論理的な接続ポイント（Wi-Fiアクセスポイントのポートなど）へのアクセスを制御する標準です。認証が成功するまで通信を遮断します。
EAP（Extensible Authentication Protocol）：802.1Xのフレームワーク内で使用される、様々な認証方式（証明書、ID/パスワードなど）を柔軟にサポートするためのプロトコルです。

WPA2/WPA3のEnterpriseモードでは、多くの場合、802.1XとEAPを組み合わせてより強力な認証を行います。

5. ネットワークセキュリティ管理

ネットワークの健全な運用とセキュリティ維持のための管理活動も重要です。

DNS、DHCP、NTPのセキュリティ

ネットワークの基盤となるこれらのサービスにもセキュリティ上の考慮が必要です。

DNS（Domain Name System）：ドメイン名をIPアドレスに変換します。DNS Spoofing（偽のIPアドレスに誘導される攻撃）への対策として、DNSSEC（DNS Security Extensions）があります。
DHCP（Dynamic Host Configuration Protocol）：ネットワーク上のデバイスにIPアドレスなどを自動的に割り当てます。不正なDHCPサーバーからの情報提供による通信傍受などのリスクがあります。
NTP（Network Time Protocol）：デバイスの時刻を同期します。時刻のずれはログ分析などに影響するため、安全なNTPサーバーの利用や認証が重要です。

ネットワーク監視とロギング

ネットワーク上で行われている活動を監視し、記録することは、インシデント発生時の対応や原因究明に不可欠です。

ネットワーク監視ツール：ネットワークトラフィック、帯域幅、デバイスの状態などを監視します。IDS/IPSも監視ツールの一種です。
ロギング：ネットワーク機器やセキュリティデバイスは、発生したイベントに関するログ（記録）を生成します。これらのログを収集・集約し、関連付けて分析することで、不正な活動の兆候を早期に発見したり、インシデント発生時の状況を詳細に把握したりできます。SIEM（Security Information and Event Management）システムなどが活用されます。

まとめ

CISSPドメイン4「通信とネットワークセキュリティ」は、私たちが日常的に利用しているネットワーク技術の「安全」をどう守るか、という実践的な知識が詰まったドメインです。

OSI/TCPモデルのような基礎理論から、ファイアウォールやVPNといった具体的なセキュリティ機器、そして最新の無線LANセキュリティまで、幅広いトピックをカバーしているため、最初は戸惑うかもしれません。しかし、それぞれの技術がネットワークのどの部分を守るために存在し、どのような役割を果たしているのかを理解することで、点と点が線で繋がり、ネットワーク全体のセキュリティという大きな絵が見えてくるはずです。

このドメインの学習は、CISSP試験のためだけでなく、ITインフラに携わる方にとって非常に役立つ実践的なスキルとなります。ぜひ楽しみながら学習を進めてください。

このドメインの学習のポイント

OSI参照モデルとTCP/IPモデルの各層の役割と、それぞれの層に関連するセキュリティ対策や攻撃手法を理解する。
主要なネットワークセキュリティ機器（ファイアウォール、IDS/IPS、VPN）の機能と適切な配置を把握する。
IPsecとSSL/TLSの違い、それぞれの用途を明確にする。
Wi-Fiセキュリティ規格の進化（WEP → WPA → WPA2 → WPA3）と、それぞれのセキュリティレベルを理解する。
ネットワークセグメンテーションとDMZの目的、およびそれらがセキュリティにどう貢献するかを説明できるようになる。
ネットワークの基盤サービス（DNS, DHCP, NTP）のセキュリティリスクと対策を知る。
単なる知識の詰め込みではなく、「なぜこの技術が必要なのか？」「どのようなリスクを軽減できるのか？」という視点で学習する。

演習問題に挑戦！

最後に、ドメイン4の理解度を確認するための演習問題に挑戦してみましょう。解説を参考に、理解を深めてくださいね。

問題

Q1: ネットワーク通信の標準モデルであるOSI参照モデルにおいて、データの暗号化や圧縮といったアプリケーション層で利用可能なデータ表現形式の変換を行う層はどれですか？

1. ネットワーク層

2. トランスポート層

3. セッション層

4. プレゼンテーション層

Q2: 外部ネットワークからのアクセスから内部ネットワーク内のサーバーを保護するために、内部ネットワークと外部ネットワークの間に設置されるネットワーク領域は一般的に何と呼ばれますか？

1. VLAN

2. DMZ

3. イントラネット

4. セグメント

Q3: ネットワークトラフィックを監視し、不正な活動の兆候やポリシー違反を検知した際に管理者への通知を行うシステムはどれですか？

1. ファイアウォール

2. IPS（侵入防御システム）

3. IDS（侵入検知システム）

4. VPN（仮想プライベートネットワーク）

Q4: 公衆ネットワークを経由して、リモートユーザーが安全に社内ネットワークにアクセスするための技術として最も一般的に利用されるものはどれですか？

1. Telnet

2. FTP

3. SSH

4. VPN

Q5: Wi-Fiセキュリティ規格のうち、現在ではセキュリティ上の脆弱性が広く知られており、使用が推奨されない最も初期の規格はどれですか？

1. WPA2

2. WEP

3. WPA3

4. 802.1X

Q6: IPsecとSSL/TLSは、どちらも通信のセキュリティを確保するために使用されますが、主に動作するOSI参照モデルの層が異なります。IPsecが主に動作する層はどれですか？

1. アプリケーション層

2. トランスポート層

3. ネットワーク層

4. データリンク層

Q7: ネットワークセグメンテーションを実施する主なセキュリティ上の目的は何ですか？

1. ネットワーク速度の向上

2. ネットワーク機器のコスト削減

3. 不正アクセス発生時の影響範囲の局所化

4. ネットワーク管理の簡素化

Q8: Wi-Fiなどのネットワークへのアクセス制御において、認証が成功するまで通信ポートを物理的・論理的にブロックする標準プロトコルはどれですか？

1. EAP

2. WPA2

3. 802.1X

4. SSID

Q9: DNS Spoofingなどの脅威からDNS通信を保護するために設計された拡張機能はどれですか？

1. DHCP

2. NTP

3. DNSSEC

4. SNMP

Q10: IDSとIPSの主な違いは何ですか？

1. IDSは不正を検知するが、IPSは検知と同時に防御（遮断）も行う。

2. IDSはネットワーク層で動作するが、IPSはアプリケーション層で動作する。

3. IDSはシグネチャベースの検知のみを行うが、IPSはアノマリベースの検知のみを行う。

4. IDSは暗号化された通信を検査できるが、IPSは検査できない。

解答と解説

Q1の解答：4

解説：OSI参照モデルにおいて、データの表現形式の変換（暗号化、圧縮など）を行うのは「プレゼンテーション層」です。アプリケーション層はユーザーインターフェースを提供し、ネットワークサービスへのアクセス手段を定義します。

Q2の解答：2

解説：外部に公開するサーバーを配置し、内部ネットワークと外部ネットワークの間の緩衝地帯として機能するネットワーク領域は「DMZ（Demilitarized Zone）」と呼ばれます。VLANやセグメントはネットワークの分割手法ですが、DMZは特に外部接続を持つサーバーのためのセキュリティゾーンです。

Q3の解答：3

解説：ネットワークトラフィックやログを監視し、不正な活動を検知して管理者に通知するシステムは「IDS（侵入検知システム）」です。IPSはIDSの機能に加えて自動的な防御（遮断）機能を持っています。ファイアウォールはルールに基づくトラフィックの許可/拒否を行います。VPNは安全な通信経路を構築する技術です。

Q4の解答：4

解説：公衆ネットワークを経由してリモートから安全にプライベートネットワークにアクセスするための技術は「VPN（仮想プライベートネットワーク）」です。TelnetやFTPは安全性が低く（パスワードが平文で流れるなど）、SSHは安全なリモートログインやファイル転送に使われますが、ネットワーク全体へのリモートアクセスにはVPNが一般的です。

Q5の解答：2

解説：Wi-Fiセキュリティ規格のうち、最も古く、暗号化の脆弱性から現在では安全ではないとされているのは「WEP」です。WPA2は現在の標準、WPA3は最新規格です。802.1Xは認証プロトコルです。

Q6の解答：3

解説：IPsecはIP層（OSI参照モデルのネットワーク層に相当）で動作し、パケット単位の認証・暗号化を行います。SSL/TLSはそれより上位の層（トランスポート層とアプリケーション層の間）で動作し、アプリケーションデータを保護します。

Q7の解答：3

解説：ネットワークセグメンテーションの主な目的は、ネットワークを論理的に分割することで、あるセグメントでセキュリティ侵害が発生した場合に、その影響が他のセグメントに拡大するのを防ぎ、被害範囲を局所化することです。

Q8の解答：3

解説：ネットワークへのアクセスポイント（ポート）レベルで認証を行い、認証成功まで通信をブロックする標準は「802.1X」です。EAPは802.1Xフレームワーク内で使用される認証方式を指します。WPA2は暗号化と認証の規格、SSIDはネットワーク名です。

Q9の解答：3

解説：DNS SpoofingなどのDNS関連の脅威から通信の完全性と信頼性を保護するために設計された拡張機能は「DNSSEC（DNS Security Extensions）」です。DHCPはIPアドレス割り当て、NTPは時刻同期、SNMPはネットワーク管理プロトコルです。

Q10の解答：1

解説：IDS（侵入検知システム）は、不正な活動を「検知」して通知することに特化しています。一方、IPS（侵入防御システム）は検知に加えて、自動的にその不正なトラフィックを「防御」（遮断など）する機能も持っています。