【コマンド集】LPIC-3 303 Security 試験対策まとめ！全トピック解説（V3.0対応）

Posted at 2026-04-03

はじめに

こんばんは、mirukyです。
本記事はLPIC-3 303: Security（303-300）の 全トピック・全サブトピック を公式試験要項（Objectives V3.0）に基づいて網羅した試験対策記事です。

LPIC-3 303はLinuxにおけるセキュリティに特化した最上位資格で、暗号化（PKI/DNSSEC/LUKS）、ホストセキュリティ（AIDE/auditd/SELinux/AppArmor）、ネットワークセキュリティ（iptables/nftables/VPN/IDS）、脆弱性評価・ペネトレーションテストまで幅広く出題されます。

V3.0 改定のポイント

V3.0では以下の技術が新たに出題範囲に追加・強化されています：

Let's Encrypt / ACME / certbot / CFSSL（証明書自動化）
WireGuard（次世代VPN）
Clevis / Tang / NBDE（ネットワークベースのディスク暗号化解除）
USBGuard（USBデバイス制御）
SSH CA（SSH証明書認証）
polkit（権限管理）
systemd のセキュリティ機能（PrivateTmp, ProtectSystem等）

従来のV2.0から大幅にアップデートされているため、最新の公式要項を必ず確認してください。

LPIC-3 303 試験概要

項目	内容
試験コード	303-300
試験バージョン	V3.0（最新）
前提条件	有効なLPIC-2資格を保有していること
問題数	60問
試験時間	90分
合格ライン	500点 / 800点満点（約65%）
出題形式	選択式・複数選択式・穴埋め式
有効期間	5年
受験料	19,800円（税込）（出典：Pearson VUE公式マーケットプレイス）

LPIC-3 の位置付け

① LPIC-1（基礎） → LPIC-2（サーバー構築） → LPIC-3（エンタープライズ・専門領域）
- 300: Mixed Environments
- 303: Security ← 本記事
- 305: Virtualization & Containerization
- 306: High Availability & Storage Clusters

試験の中心テーマ

暗号技術：X.509証明書、PKI、LUKS、DNSSEC
ホストセキュリティ：ハードニング、侵入検知、リソース制御
アクセス制御：DAC、MAC（SELinux/AppArmor）
ネットワークセキュリティ：パケットフィルタリング、IDS/IPS、VPN
脅威と脆弱性評価：CVE、ペネトレーションテスト

Topic 331：暗号技術

331.1 X.509証明書と公開鍵基盤（Weight: 5）

PKI（公開鍵基盤）の構造

① ルートCA（認証局）

中間CA
サーバー証明書
クライアント証明書
CRL（証明書失効リスト）/ OCSP（オンライン証明書状態プロトコル）

証明書ファイル形式

形式	拡張子	特徴
PEM	`.pem`, `.crt`, `.key`	Base64エンコード。最も一般的
DER	`.der`, `.cer`	バイナリ形式
PKCS#12	`.p12`, `.pfx`	秘密鍵＋証明書を1ファイルに格納
PKCS#7	`.p7b`	証明書チェーンのみ（秘密鍵なし）

OpenSSL コマンド集

# --- 秘密鍵の生成 ---
openssl genrsa -out [秘密鍵ファイル名].key 4096                   # RSA 4096ビット
openssl genrsa -aes256 -out [秘密鍵ファイル名].key 4096           # パスフレーズ付き
openssl ecparam -genkey -name prime256v1 -out [秘密鍵ファイル名].key   # ECDSA

# --- CSR（証明書署名要求）の作成 ---
openssl req -new -key [秘密鍵ファイル名].key -out [CSRファイル名].csr
openssl req -new -key [秘密鍵ファイル名].key -out [CSRファイル名].csr \
  -subj "/C=JP/ST=Tokyo/L=Chiyoda/O=Example Inc/CN=www.example.com"

# --- 自己署名証明書の作成 ---
openssl req -x509 -nodes -days 365 -newkey rsa:4096 \
  -keyout [秘密鍵ファイル名].key -out [証明書ファイル名].crt
openssl req -x509 -nodes -days 365 -newkey rsa:4096 \
  -keyout [秘密鍵ファイル名].key -out [証明書ファイル名].crt \
  -subj "/CN=www.example.com"

# --- CA（認証局）の構築 ---
# CA秘密鍵
openssl genrsa -aes256 -out ca.key 4096
# CA証明書（自己署名）
openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 \
  -out ca.crt -subj "/C=JP/O=MyCA/CN=My Root CA"
# CSRへの署名（証明書発行）
openssl x509 -req -in [CSRファイル名].csr -CA ca.crt -CAkey ca.key \
  -CAcreateserial -out [証明書ファイル名].crt -days 365 -sha256

# --- 証明書の確認 ---
openssl x509 -in [証明書ファイル名].crt -text -noout               # 証明書の内容表示
openssl x509 -in [証明書ファイル名].crt -dates -noout              # 有効期限の確認
openssl x509 -in [証明書ファイル名].crt -subject -noout            # サブジェクトの確認
openssl x509 -in [証明書ファイル名].crt -issuer -noout             # 発行者の確認
openssl req -in [CSRファイル名].csr -text -noout                    # CSRの内容表示
openssl rsa -in [秘密鍵ファイル名].key -check                      # 秘密鍵の検証

# --- 形式変換 ---
openssl x509 -in [PEMファイル].crt -outform DER -out [DERファイル].der   # PEM→DER
openssl x509 -in [DERファイル].der -inform DER -outform PEM -out [PEMファイル].crt   # DER→PEM
openssl pkcs12 -export -out [P12ファイル].p12 -inkey [秘密鍵].key -in [証明書].crt   # PKCS#12作成
openssl pkcs12 -in [P12ファイル].p12 -out [PEMファイル].pem -nodes   # PKCS#12→PEM

# --- リモートサーバーの証明書確認 ---
openssl s_client -connect [ホスト名]:443                            # TLS接続テスト
openssl s_client -connect [ホスト名]:443 -showcerts                 # 証明書チェーン表示

# --- CRL（証明書失効リスト）---
openssl ca -revoke [証明書ファイル名].crt                           # 証明書の失効
openssl ca -gencrl -out [CRLファイル名].crl                        # CRLの生成
openssl crl -in [CRLファイル名].crl -text -noout                   # CRLの確認

# --- OCSP ---
openssl ocsp -issuer ca.crt -cert [証明書].crt -url [OCSP URL] -resp_text

Let's Encrypt / certbot（V3.0 新規）

# certbotによる証明書取得
certbot certonly --webroot -w /var/www/html -d [ドメイン名]
certbot certonly --standalone -d [ドメイン名]
certbot certonly --dns-cloudflare -d [ドメイン名]                   # DNSプラグイン

# 証明書の更新
certbot renew                                                       # 全証明書の更新
certbot renew --dry-run                                             # テスト実行

# 証明書の一覧・削除
certbot certificates                                                # 証明書一覧
certbot delete --cert-name [ドメイン名]                             # 証明書削除

# 証明書の格納場所
# /etc/letsencrypt/live/[ドメイン名]/fullchain.pem   （証明書チェーン）
# /etc/letsencrypt/live/[ドメイン名]/privkey.pem     （秘密鍵）

CFSSL（V3.0 新規）

# CFSSL によるCA構築
cfssl gencert -initca [CA CSR JSON].json | cfssljson -bare ca       # CA証明書生成
cfssl gencert -ca=ca.pem -ca-key=ca-key.pem -config=[設定JSON].json \
  -profile=[プロファイル名] [CSR JSON].json | cfssljson -bare [出力名]   # 証明書発行
cfssl certinfo -cert [証明書ファイル名].pem                         # 証明書情報

331.2 暗号化・署名・検証のためのX.509証明書（Weight: 4）

Apache HTTPS設定（mod_ssl）

# /etc/httpd/conf.d/ssl.conf（または sites-available/default-ssl.conf）

<VirtualHost *:443>
    ServerName www.example.com
    DocumentRoot /var/www/html

    SSLEngine on
    SSLCertificateFile /etc/pki/tls/certs/server.crt
    SSLCertificateKeyFile /etc/pki/tls/private/server.key
    SSLCertificateChainFile /etc/pki/tls/certs/chain.crt

    # TLSバージョン制御
    SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1              # TLS 1.2以上のみ
    SSLCipherSuite HIGH:!aNULL:!MD5:!3DES                # 強力な暗号スイートのみ
    SSLHonorCipherOrder on                                # サーバー側の暗号優先

    # HSTS（HTTP Strict Transport Security）
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"

    # OCSP Stapling
    SSLUseStapling on
    SSLStaplingCache "shmcb:logs/stapling-cache(150000)"

    # クライアント証明書認証
    SSLVerifyClient require
    SSLVerifyDepth 2
    SSLCACertificateFile /etc/pki/tls/certs/ca.crt
</VirtualHost>

# SNI（Server Name Indication）
# 複数のVirtualHostで異なる証明書を使用可能（TLS拡張）
<VirtualHost *:443>
    ServerName site2.example.com
    SSLEngine on
    SSLCertificateFile /etc/pki/tls/certs/site2.crt
    SSLCertificateKeyFile /etc/pki/tls/private/site2.key
</VirtualHost>

331.3 暗号化ファイルシステム（Weight: 3）

LUKS / dm-crypt

# パーティションの暗号化
cryptsetup luksFormat /dev/[デバイス名]                             # LUKS初期化
cryptsetup luksFormat --type luks2 /dev/[デバイス名]                # LUKS2形式

# 暗号化デバイスのオープン・クローズ
cryptsetup luksOpen /dev/[デバイス名] [マッピング名]                # オープン
cryptsetup luksClose [マッピング名]                                 # クローズ

# ファイルシステム作成・マウント
mkfs.ext4 /dev/mapper/[マッピング名]
mount /dev/mapper/[マッピング名] /mnt

# 鍵管理
cryptsetup luksDump /dev/[デバイス名]                               # ヘッダ情報の表示
cryptsetup luksAddKey /dev/[デバイス名]                             # 鍵スロットの追加
cryptsetup luksRemoveKey /dev/[デバイス名]                          # 鍵スロットの削除
cryptsetup luksKillSlot /dev/[デバイス名] [スロット番号]            # 特定スロットの削除
cryptsetup luksChangeKey /dev/[デバイス名]                          # パスフレーズの変更

# ヘッダのバックアップ・復元
cryptsetup luksHeaderBackup /dev/[デバイス名] --header-backup-file [バックアップファイルパス]
cryptsetup luksHeaderRestore /dev/[デバイス名] --header-backup-file [バックアップファイルパス]

# /etc/crypttab（起動時の自動オープン）
# [マッピング名]  /dev/[デバイス名]  none  luks

Clevis / Tang / NBDE（V3.0 新規）

# Tang サーバー（鍵提供サーバー）
systemctl enable tangd.socket
systemctl start tangd.socket

# Clevis でLUKSデバイスにTangバインド（自動解除）
clevis luks bind -d /dev/[デバイス名] tang '{"url":"http://[TangサーバーIP]"}'

# TPM2バインド
clevis luks bind -d /dev/[デバイス名] tpm2 '{}'

# バインド情報の確認
clevis luks list -d /dev/[デバイス名]

eCryptfs

mount -t ecryptfs [暗号化元ディレクトリ] [マウント先ディレクトリ]
ecryptfs-setup-private                                              # ホームディレクトリの暗号化設定
ecryptfs-mount-private                                              # プライベートディレクトリのマウント
ecryptfs-umount-private                                             # アンマウント

331.4 DNSと暗号技術（Weight: 5）

DNSSEC

DNSSECの仕組み

① ルートゾーン（.）→ 署名 → .comゾーン → 署名 → example.comゾーン
② 各ゾーンがKSK（鍵署名鍵）とZSK（ゾーン署名鍵）のペアを持つ

鍵の種類	説明
ZSK（Zone Signing Key）	ゾーンレコードの署名に使用。頻繁にローテーション
KSK（Key Signing Key）	ZSKの署名に使用。ローテーション頻度は低い

レコードタイプ	説明
RRSIG	レコードのデジタル署名
DNSKEY	公開鍵（ZSK/KSK）
DS（Delegation Signer）	親ゾーンに登録するKSKのハッシュ
NSEC / NSEC3	不在証明（存在しないレコードの証明）

コマンド集

# DNSSEC鍵の生成
dnssec-keygen -a ECDSAP256SHA256 -n ZONE [ゾーン名]                 # ZSK生成
dnssec-keygen -a ECDSAP256SHA256 -n ZONE -f KSK [ゾーン名]         # KSK生成

# ゾーンへの署名
dnssec-signzone -o [ゾーン名] -k [KSKファイル名] [ゾーンファイル名] [ZSKファイル名]

# 署名の検証
dig +dnssec [ドメイン名]                                            # DNSSEC対応クエリ
dig +dnssec +cd [ドメイン名]                                        # 検証無効でクエリ
dig DNSKEY [ゾーン名] @[DNSサーバーIP]                              # DNSKEY確認
dig DS [ゾーン名] @[親DNSサーバーIP]                                # DSレコード確認
delv [ドメイン名]                                                   # DNSSEC検証ツール

# 鍵のローテーション
dnssec-settime -I +30d -D +60d [鍵ファイル名]                      # 鍵の無効化・削除スケジュール

# BIND設定（named.conf）でDNSSECを有効化
# options {
#     dnssec-validation auto;
# };

DANE（DNS-Based Authentication of Named Entities）

# TLSAレコードの確認
dig TLSA _443._tcp.[ドメイン名]

# TLSAレコードの生成
openssl x509 -in [証明書ファイル名].crt -outform DER | \
  openssl dgst -sha256 -binary | xxd -p -c 32
# 結果をDNSのTLSAレコードとして登録

Topic 332：ホストセキュリティ

332.1 ホストハードニング（Weight: 5）

ハードニングのチェックリスト

1. 不要なサービスの無効化
2. カーネルパラメータの強化（sysctl）
3. ファイルパーミッションの適正化
4. SSH設定の強化
5. USBデバイスの制御
6. systemdのセキュリティ機能活用

カーネルセキュリティパラメータ（sysctl）

# /etc/sysctl.d/99-security.conf

# IPスプーフィング対策
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# ICMP リダイレクト無効化
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0

# ソースルーティング無効化
net.ipv4.conf.all.accept_source_route = 0

# SYN flood対策
net.ipv4.tcp_syncookies = 1

# ログマーシャン（不正パケットのログ）
net.ipv4.conf.all.log_martians = 1

# ASLR（アドレス空間配置のランダム化）
kernel.randomize_va_space = 2

# コアダンプの制限
fs.suid_dumpable = 0

# 適用
sysctl -p /etc/sysctl.d/99-security.conf

USBGuard（V3.0 新規）

# USBGuardの初期設定
usbguard generate-policy > /etc/usbguard/rules.conf               # 現在のデバイスからポリシー生成

# USBGuard管理
systemctl start usbguard
usbguard list-devices                                               # デバイス一覧
usbguard allow-device [デバイスID]                                  # デバイスの許可
usbguard block-device [デバイスID]                                  # デバイスのブロック
usbguard reject-device [デバイスID]                                 # デバイスの拒否

# ルールの例（/etc/usbguard/rules.conf）
# allow id 1234:5678 serial "ABC123"                                # 特定デバイスを許可
# reject with-interface equals { 08:*:* }                           # USBストレージを拒否

SSH CA（証明書ベース認証）（V3.0 新規）

# SSH CA鍵の生成
ssh-keygen -f /etc/ssh/ca_user_key                                  # ユーザーCA鍵
ssh-keygen -f /etc/ssh/ca_host_key                                  # ホストCA鍵

# ユーザー公開鍵への署名（証明書発行）
ssh-keygen -s /etc/ssh/ca_user_key -I [証明書ID] -n [ユーザー名] -V +52w [ユーザー公開鍵].pub

# ホスト公開鍵への署名
ssh-keygen -s /etc/ssh/ca_host_key -I [ホスト名] -h -n [ホスト名] -V +52w /etc/ssh/ssh_host_ed25519_key.pub

# sshd_config でCA信頼設定
# TrustedUserCAKeys /etc/ssh/ca_user_key.pub
# HostCertificate /etc/ssh/ssh_host_ed25519_key-cert.pub

# 証明書の内容確認
ssh-keygen -L -f [証明書ファイル名]-cert.pub

polkit（V3.0 新規）

# polkitルールの確認
pkaction --verbose                                                  # 全アクション一覧
pkaction --action-id [アクションID] --verbose                       # 特定アクションの詳細
pkcheck --action-id [アクションID] --process [PID]                  # 権限チェック

# ルールファイル: /etc/polkit-1/rules.d/ または /usr/share/polkit-1/rules.d/

systemd セキュリティ機能（V3.0 新規）

# ユニットファイルのセキュリティディレクティブ例
[Service]
PrivateTmp=yes                                # /tmp を分離
ProtectSystem=strict                          # ファイルシステムを読み取り専用
ProtectHome=yes                               # /home を非表示
NoNewPrivileges=yes                           # 特権昇格を禁止
PrivateDevices=yes                            # /dev を制限
ProtectKernelModules=yes                      # カーネルモジュール操作を禁止
ProtectKernelTunables=yes                     # sysctl変更を禁止
RestrictAddressFamilies=AF_INET AF_INET6      # 使用可能なソケットファミリーを制限
MemoryDenyWriteExecute=yes                    # W^X（書き込み＋実行禁止）

# ユニットのセキュリティスコア確認
systemd-analyze security [ユニット名]

332.2 ホスト侵入検知（Weight: 5）

AIDE（Advanced Intrusion Detection Environment）

# データベースの初期化
aide --init                                                         # 初期データベース作成
cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db                  # データベースの有効化

# 整合性チェック
aide --check                                                        # ファイル変更の検出
aide --update                                                       # チェック＋データベース更新

# 設定ファイル（/etc/aide/aide.conf）
# /etc   CONTENT_EX
# /bin   CONTENT_EX
# /sbin  CONTENT_EX
# /usr   CONTENT_EX
# !/var/log                                                         # ログディレクトリを除外

auditd（Linux監査フレームワーク）

# auditdの管理
systemctl start auditd
systemctl enable auditd
auditctl -s                                                         # 監査システムの状態

# 監査ルールの追加
auditctl -w /etc/passwd -p wa -k passwd_changes                     # ファイル監視（書き込み＋属性変更）
auditctl -w /etc/shadow -p wa -k shadow_changes
auditctl -w /etc/sudoers -p wa -k sudoers_changes
auditctl -a always,exit -F arch=b64 -S execve -k exec_log          # コマンド実行の監査
auditctl -a always,exit -F arch=b64 -S mount -k mount_ops          # マウント操作の監査

# 監査ルールの一覧・削除
auditctl -l                                                         # 現在のルール一覧
auditctl -D                                                         # 全ルール削除

# 永続化（/etc/audit/rules.d/audit.rules）
# -w /etc/passwd -p wa -k passwd_changes
# -w /etc/shadow -p wa -k shadow_changes

# ログの検索・レポート
ausearch -k passwd_changes                                          # キーで検索
ausearch -m USER_LOGIN --start today                                # 今日のログイン
ausearch -ui [UID]                                                  # 特定ユーザーの操作
aureport                                                            # 監査レポート
aureport --auth                                                     # 認証レポート
aureport --login                                                    # ログインレポート
aureport --file                                                     # ファイルアクセスレポート
aureport --summary                                                  # サマリーレポート

パッケージ検証

# RPM ファイル検証
rpm -V [パッケージ名]                                               # パッケージの整合性チェック
rpm -Va                                                             # 全パッケージの検証

# Debian ファイル検証
debsums [パッケージ名]                                              # パッケージの整合性チェック
debsums -a                                                          # 全パッケージの検証
debsums -c                                                          # 変更されたファイルのみ

重要ファイル

/etc/aide/aide.conf ：AIDE設定
/var/lib/aide/aide.db ：AIDEデータベース
/etc/audit/auditd.conf ：auditd設定
/etc/audit/rules.d/ ：監査ルール

332.3 リソース制御（Weight: 3）

cgroups

# cgroups v1
cgcreate -g cpu,memory:[グループ名]                                 # cgroupの作成
cgset -r cpu.shares=512 [グループ名]                                # CPU配分の設定
cgset -r memory.limit_in_bytes=512M [グループ名]                    # メモリ制限
cgexec -g cpu,memory:[グループ名] [コマンド]                        # cgroup内でコマンド実行
cgclassify -g cpu,memory:[グループ名] [PID]                         # プロセスをcgroupに追加
lscgroup                                                            # cgroup一覧

# cgroups v2（systemd統合）
systemd-cgls                                                        # cgroupツリーの表示
systemd-cgtop                                                       # cgroupリソース使用状況

systemd によるリソース制限

# ユニットファイルでの制限
# [Service]
# CPUQuota=50%                                                      # CPU使用率制限
# MemoryMax=512M                                                    # メモリ上限
# MemoryHigh=256M                                                   # メモリソフト上限
# TasksMax=100                                                      # プロセス数上限
# IOWeight=100                                                      # I/O重み

# systemd slice
systemctl set-property [ユニット名] CPUQuota=50%                    # 動的に制限変更
systemctl set-property [ユニット名] MemoryMax=512M

# ulimit
ulimit -a                                                           # 現在の制限一覧
ulimit -n 4096                                                      # オープンファイル数
ulimit -u 2048                                                      # プロセス数

# /etc/security/limits.conf
# [ユーザー名]  hard  nofile   65536
# [ユーザー名]  hard  nproc    4096
# @[グループ名] soft  nofile   4096

Topic 333：アクセス制御

333.1 任意アクセス制御（DAC）（Weight: 3）