CompTIA Security+（SY0-701） 無料問題 10 / 10 ・ 分野5: セキュリティプログラムの管理と監視
実際の侵入の手口を模した演習で、組織の防御と検知を試したい。NIST SP 800-53 の CA-8 (2) が挙げる手段はどれか。
- 定期的な脆弱性スキャン。ツールで構成要素の既知の脆弱性を一覧にして、パッチの優先度を決める
- 机上演習。災害の発生を想定して、関係者が復旧の手順を会議室で確認し、手順の漏れを洗い出す
- フィッシング訓練。従業員に模擬のメールを送り、開封やクリックの割合を測り、研修の対象を決める
- レッドチームの演習。攻撃者がシステムの侵害を試みる動きを、定めた交戦規則に沿って模す
正解と解説を見る
正解: D
正解の理由
「レッドチームの演習。攻撃者がシステムの侵害を試みる動きを、定めた交戦規則に沿って模す」SP 800-53 の CA-8 (2) は、組織が定めたレッドチームの演習を使って、攻撃者がシステムを侵害しようとする試みを、適用される交戦規則に沿って模すよう求める。レッドチームの演習は、攻撃者の侵害の試みを模すもので、ペネトレーションテスト（CA-8）の強化策の1つとして挙がる。
違う選択肢
「机上演習。災害の発生を想定して、関係者が復旧の手順を会議室で確認し、手順の漏れを洗い出す」…机上演習は復旧や対応の手順を確認する演習。攻撃者の動きを模して防御を試す手段ではない。
「フィッシング訓練。従業員に模擬のメールを送り、開封やクリックの割合を測り、研修の対象を決める」…フィッシング訓練は意識向上の施策。CA-8 (2) のレッドチームは、攻撃者の動きを模してシステムの侵害を試みる演習。
「定期的な脆弱性スキャン。ツールで構成要素の既知の脆弱性を一覧にして、パッチの優先度を決める」…スキャンは既知の脆弱性を見つける作業。レッドチームは、攻撃者のように侵害を試み、防御と検知を試す。
押さえどころ
ペネトレーションテストは、組織内外の独立した者に任せることも求められる（CA-8 (1)）。交戦規則（実施の範囲・方法・禁止事項）を事前に決めておく。