はじめに
あるとき、なんとなく見ていた動画の中で、 CompTIA Security+ という国際的なセキュリティ資格を見つけました。
少し前に情報セキュリティマネジメント試験を受けたりしているので、セキュリティへの熱が冷めやらぬうちに、今まであまりなじみのなかったこちらのセキュリティ資格にも挑戦してみることにしました。
Comptia Security+について
調べてみると国際的なセキュリティの入門編的な資格で、IPAでいうと基本情報と情報処理安全確保支援士の間くらいの難易度とのこと。受験費用がなんと5万円超とかなりの強気だったので、しばらく悩んでしまいました。しかし、Comptiaのサイトに登録してしばらくしたころに、期間限定10%オフの案内が送られてきて、思わず試験バウチャーを購入してしまいました。商売上手です。
試験はAWS認定などと同じようにピアソンビューのCBTで受けることができます。よくある選択式の問題に加えて画面上でのドラッグ＆ドロップやコマンド操作を模したパフォーマンスベーステスト（実践型問題）が含まれるようです。
勉強したこと
勉強方法についてGeminiに相談したところ、Udemyを進められたのでまずはお得意のUdemyシリーズから
【本番模試 5回分 (450問)】CompTIA Security+ (SYO-701) 本番模試【最新】
いつもお世話になっているUdemyでこちらの問題集は「ベストセラー」と「最高評価」の印がついていました。通勤電車の中でひたすら問題を解き続けては解説を読む日々を送りました。試験の1週間前に一通り回し終わりましたがだいたい8割くらいの正解率になりました。
【聞きながら最新セキュリティを学ぼう】CompTIA Security+ SY0-701学習講座（スキマ時間に学べます）
こちらも「ベストセラー」と「最高評価」がついていたので購入してみました。こちらも主に通勤電車ですが画面はあまり見ないで、耳だけでOKな構成がありがたく、満員電車で手が封じられても聞けました。
Geminiとの問答
今回の勉強ではUdemyの問題を解きながら、引っかかった点をGeminiと問答することによって理解を深めていくという方法をとりました。
単に「正解/不正解」を確認するだけでなく、自分がすでに知っている知識（AWSなど）と紐づけて理解するためにAIを活用しました。
例えば、オンプレミスの通信ログ監視技術である「NetFlow」が出てきた際、「これってAWSのVPC Flow Logsと同じもの？」と質問を投げてみたり、聞き慣れない概念が出たら「ハニーファイルって言葉はある？」と深掘りしたりしました。
こうすることで、単なる暗記ではなく「実務や既存の知識と繋がった生きた知識」として定着させることができました。
試験直前には、これまでの3週間の問答履歴を踏まえて、AIに「出題ドメイン別の直前チェックシート」を作成してもらい、試験会場に向かう電車の中で最終確認を行いました。
CompTIA Security+ (SY0-701) 直前チェックシート
1.0 セキュリティコンセプトの概要 12%
- 暴露係数（EF）とリスク計算：$\text{SLE} = \text{AV} \times \text{EF}$（資産価値 $\times$ 被害割合）。これを年間の発生頻度（ARO）と掛け合わせた $\text{ALE} = \text{SLE} \times \text{ARO}$（年間損失期待値）の公式とセットで頭に入れる。
- エフェメラル（Ephemeral）認証キー：短時間だけ使い捨てで生成される鍵や資格情報。万が一漏洩しても即座に自動失効するためリスクを極小化できる（PFSを実現するエフェメラルキーやAWS STSトークンなど）。
- 暗号ダウングレード攻撃（フォールバック攻撃）：通信のネゴシエーション時に割り込み、無理やり古い脆弱なプロトコル（SSL 3.0や古いTLS）に引きずり下ろす攻撃。対策はサーバー側でのレガシープロトコルの完全無効化とHSTS。
- データ漏洩防止（DLP）：機密情報を「外に出さない」技術。「移動中（Motion）」「保存中（Rest）」「使用中（Use）」の3状態を監視。SaaS型（M365/Google）とインフラ型（Amazon Macie）の違いを押さえる。
2.0 脅威、脆弱性、軽減策 22%
- ソフトウェアサプライチェーンの脅威：OSSライブラリの既知の脆弱性やリポジトリ（npm等）の乗っ取り。対策の最重要キーワードは「SBOM（成分表示表）」による可視化と「SCA（組成分析）」ツール。
- ハードウェアのサプライチェーン脅威（ハードウェア・トロイ）：製造工程や配送ルート（インターセプション）でマザーボードに不正チップやバックドアが仕込まれるリスク。対策はTPM（RoT）や受入時の物理検査。
- おとり技術（Deception）：侵入者を誘い出す仕掛け。ファイル形式のブービートラップである「ハニーファイル」は、正規ユーザーが触らないためアクセス発生＝即不正検知（誤検知が非常に少ない）。
3.0 セキュリティアーキテクチャ 18%
-
ゼロトラストアーキテクチャ（NIST SP 800-207）：
- PDP（Policy Decision Point）：アクセス合否を「判断」する頭脳。ルールを照らし合わせる**ポリシーエンジン（PE）と、アクセス可否の指示を出すポリシー管理者（PA）**で構成。
- PEP（Policy Enforcement Point）：PDPの決定に基づいて現場で通信を通過/遮断する手足（ゲートウェイ等）。
- 802.1Xポートベース認証：ネットワーク接続時にポートを閉じ、認証成功時のみ開く仕組み。登場人物はサプリカント（PC）、オーセンティケーター（スイッチ/AP）、**認証サーバー（RADIUS）**の3者。
- SD-WAN：ソフトウェアで広域ネットワークを集中管理する技術。アプリケーション認識によるトラフィックの動的振り分けや、各拠点からのインターネットブレイクアウト（データセンターの負荷軽減）を実現。
4.0 セキュリティオペレーション 28%
- 一時的認証（JIT / STS）：保守作業時などに、永続キーを渡さず時間制限付きで付与するアクセス制御。AWS STSなどの**一時的セキュリティ認証情報（IAMロール引き受け）**が最も適する。
- NetFlow / VPC Flow Logs：通信の「中身（パケット）」ではなく「通話明細（送信元/宛先IP、ポート、データ量などのメタデータ）」を記録する仕組み。通信傾向や容量計画（キャパシティ）に役立つが、攻撃種別の自動分類機能までは持たない（それはIDS/IPSやSIEMの役割）。
5.0 セキュリティプログラムの管理と監督 20%
- サードパーティリスク管理：外部ベンダーや導入するソフトウェア・ハードウェアに対する継続的な評価と監査。サプライチェーンリスク対策としてSBOMの提出を義務付ける運用など。
武蔵小杉テストセンター
今回は何度か利用したことのある武蔵小杉のテストセンターを利用しました。
こちらのテストセンターは品のある落ち着いたスタッフの方々があざやかな連携プレーで対応してくれるので、とてもスムーズに試験に入ることができます。
いつもの通り少し早めに到着して近くのスターバックスで直前の詰め込みを試みました。
実際の試験の感触と結果
試験を受けてみたところ、Udemyの問題集よりも少々難易度が高めに感じました。
試験開始直後、1問目からいきなりPBQ（パフォーマンスベース問題）が登場して面食らいました。サーバーやファイアウォールのログを分析して感染源を特定するような実践的な問題で、「これは時間がかかる…！」と焦りましたが、事前の対策どおり「PBQはフラグだけ立てて後回しにし、先に選択問題（マルチチョイス）をすべて解く」という戦略をとりました。これが結果的に時間のゆとりを生み、合格に繋がったと感じています。
試験の結果
773点（合格ライン 750点）で、無事に一発合格することができました！
おわりに
高額な受験料に少し足がすくみましたが、体系的なセキュリティ知識を網羅的に学べたこと、そして自分の知っているクラウド知識と繋げられたことで、非常に実りのある挑戦になりました。
学習において「AIを単なる解説ツールではなく、家庭教師のように対話相手として使う」やり方は、こうした概念理解が重視される資格試験において非常に相性が良いと感じました。
これから受験される方の参考になれば幸いです！
参考文献