CompTIA Security+の学習で、いちばん力がつくのは「問題を解きながら理解する」ことです。
この記事は、ネットワークセキュリティ分野の演習問題を、1問ずつ徹底解説つきでお届けします。単なる問題集ではなく、解説を読むだけで参考書のように知識が身につく構成にしました。
解説では、正解の理由はもちろん、不正解の選択肢がなぜ違うのかまで説明しています。消去法の力もつくので、初めて学ぶ人でも安心して取り組めます。まずは何も見ずに解いて、そのあと解説をじっくり読んでください。
ネットワークセキュリティ 演習問題（全10問）
問題1
社内に、インターネットへ公開するWebサーバーとメールサーバーを設置することになった。これらを配置する場所として最も適切なのはどれか。
A. 社内LANの中心部
B. 管理者が使う端末と同じネットワーク
C. DMZ（非武装地帯／スクリーンドサブネット）
D. インターネット上に直接公開する
正解 C
【解説】
結論から言うと、外部に公開するサーバーはDMZに置きます。DMZとは、インターネットと社内LANの「あいだ」に設けた緩衝地帯のことです。つまり、外からアクセスされる前提のサーバーを、社内の大事なネットワークとは切り離した場所に隔離しておく、という考え方です。なぜこうするかというと、公開サーバーは攻撃を受けやすく、万が一乗っ取られても、そこから社内LANへ被害が広がらないようにするためです。実際の現場では、外側と内側に2台のファイアウォール（Cisco ASAやFortinet FortiGateなど）を置き、その間にDMZを作ります。試験では「公開サーバーをどこに置くか」という形で頻出です。間違えやすいのは、社内LANに直接置いてしまうパターンで、これだと侵害時に社内全体が一気に危険になります。
各選択肢の解説
A：社内LANの中心に公開サーバーを置くと、侵害された瞬間に社内全体が危険にさらされる。最も避けるべき配置。
B：管理者端末と同居はさらに危険。公開サーバーが乗っ取られると管理権限まで奪われかねない。
C：正しい。DMZに置けば、公開サーバーが攻撃されても社内LANへの被害を食い止められる。
D：無防備にインターネットへ晒すのは論外。ファイアウォールの保護すら受けられない。
試験対策ポイント：「外部公開サーバーの置き場所＝DMZ」を反射で答えられるように。
ワンポイント：DMZは近年「スクリーンドサブネット」とも呼ばれます。名前が変わっても意味は同じ。
関連知識：ゾーニング（信頼度でネットワークを区分けする考え方）とセットで理解すると応用が利きます。
問題2
不審な通信を検知するだけでなく、その通信を自動的に遮断（ブロック）できる仕組みはどれか。
A. IPS（侵入防止システム）
B. IDS（侵入検知システム）
C. SIEM
D. プロキシサーバー
正解 A
【解説】
答えはIPSです。IPSは通信の経路上（インライン）に立ちはだかり、危険な通信を見つけたらその場で遮断します。よく似たIDSとの違いがポイントで、IDSは見つけて通報するだけの監視カメラ、IPSは実際に通せんぼするガードマンだと考えると分かりやすいです。なぜこの違いが重要かというと、IDSは通信を止めないので被害の発生自体は防げず、IPSは即座に止められる反面、正規の通信まで誤って止めてしまうリスクがあるからです。現場では、次世代ファイアウォール（NGFW）にIPS機能が組み込まれていることが多く、FortiGateやCisco Firepowerが代表例です。試験では検知だけか遮断までかを問う形で必ず出ます。名前のP（Prevention＝防止）に注目すると迷いません。
各選択肢の解説
A：正しい。Prevention＝防止で、遮断まで行う。
B：IDSは検知・通知のみ。通信は止められない。
C：SIEMはログを集約・相関して脅威を検知する基盤で、通信を遮断する機器ではない。
D：プロキシは通信を中継・代理する役割で、攻撃の自動遮断が主目的ではない。
試験対策ポイント：「止められるのはIPS」。Pがつく方が止める、と覚える。
ワンポイント：IDSの配置はミラーポート（経路の外）、IPSはインライン（経路上）。配置の違いも問われます。
関連知識：検知方式にはシグネチャ型（既知パターン）とアノマリ型（異常検知）があります。
問題3
WebアプリケーションへのSQLインジェクションやクロスサイトスクリプティング（XSS）を防ぐのに、最も適した対策はどれか。
A. VPN
B. NGFW（次世代ファイアウォール）
C. IDS
D. WAF（Web Application Firewall）
正解 D
【解説】
答えはWAFです。WAFは、その名のとおりWebアプリケーションへの攻撃に特化したファイアウォールです。つまり、Webサイトの入力欄などを狙うSQLインジェクションやXSSを、専門的に見張って遮断してくれます。なぜ普通のファイアウォールでは不十分かというと、これらの攻撃は正規のHTTPS（443番）に紛れて送られてくるため、ポート単位で判断する従来型FWでは中身まで見抜けないからです。WAFはHTTPの中身（アプリ層＝L7）まで検査するので、悪意ある入力を捉えられます。現場では、AWS WAFやCloudflare、FortiWebのような製品が使われます。試験ではWebアプリの攻撃を防ぐには何かでWAFを選ばせ、NGFWと迷わせる形が定番です。特化がキーワードならWAFです。
各選択肢の解説
A：VPNは通信を暗号化して安全に接続する技術。攻撃そのものの防御が目的ではない。
B：NGFWは総合的な次世代FW。IPSも内蔵するが、Web攻撃への特化ではWAFに一歩譲る。
C：IDSは検知のみで遮断しない。防御策としては不十分。
D：正しい。Web攻撃（SQLi・XSS）に特化して検査・遮断する専門機。
試験対策ポイント：「Webアプリの攻撃＝WAF」。NGFWと迷ったら特化かどうかで判断。
ワンポイント：WAFはL7で動作。SQLインジェクション対策は、アプリ側の入力値検証も併用するのが基本です。
関連知識：クラウドではWAFをロードバランサやCDNの前段に置くのが一般的です。
問題4
在宅勤務の社員が、自宅から社内システムへ安全に接続したい。通信を暗号化し、盗聴されても中身を読まれないようにする技術はどれか。
A. DHCP
B. VPN
C. NAT
D. VLAN
正解 B
【解説】
答えはVPNです。VPN（Virtual Private Network）は、インターネットという公道の上に、暗号化された専用トンネルを作る技術です。つまり通信の中身を暗号で包むので、途中で盗聴されても内容を読まれません。なぜ必要かというと、自宅から会社への通信は不特定多数が使うインターネットを経由するため、そのままでは盗み見される危険があるからです。現場では、Cisco AnyConnectやFortiClientといったクライアントを社員のPCに入れ、SSL/TLS VPNで社内に接続する形が定番です。拠点間の常時接続にはIPSec VPNが使われます。試験ではリモート接続を安全にや通信を暗号化というキーワードでVPNを選ばせます。近年はVPNに代わり、ゼロトラスト型のSASE/ZTNAへ移行する企業も増えています。
各選択肢の解説
A：DHCPはIPアドレスを自動で割り当てる仕組み。暗号化とは無関係。
B：正しい。暗号化トンネルで安全にリモート接続する技術。
C：NATはプライベートとグローバルのIPアドレスを変換する仕組み。暗号化はしない。
D：VLANはスイッチを論理的に分割する技術。リモート接続の暗号化とは別物。
試験対策ポイント：「リモート接続を安全に／通信を暗号化」＝VPN。
ワンポイント：VPNには拠点間のIPSec VPNと、個人向けのSSL/TLS VPNがある。用途で使い分ける。
関連知識：最新トレンドはSASE／ZTNA。VPNの一度入れば信頼という弱点をゼロトラストで補います。
問題5
社内のプライベートIPアドレスを、インターネットで使えるグローバルIPアドレスに変換し、外部へ接続できるようにする技術はどれか。
A. NAT（ネットワークアドレス変換）
B. ACL
C. VLAN
D. VPN
正解 A
【解説】
答えはNATです。NATは、社内で使うプライベートIPアドレスを、インターネットで使えるグローバルIPアドレスに変換する仕組みです。つまり、社内の多数の端末が少数のグローバルIPを共有して外に出られるようにする翻訳係のようなものです。なぜ必要かというと、グローバルIPは数に限りがあり、全端末に割り当てるのは現実的でないからです。加えて内部アドレスが外から見えなくなるため、内部構造の隠蔽というちょっとしたセキュリティ効果もあります。現場では、家庭用ルーターから企業のFortiGateまで、ほぼ必ずNATが動いています。ポート番号まで使うPAT（NAPT）が一般的です。試験ではIPアドレスの変換という文脈で登場します。NATはセキュリティの主目的ではない点に注意。
各選択肢の解説
A：正しい。プライベートIPとグローバルIPを変換する。
B：ACLは通信の許可/拒否を定義するリスト。アドレス変換はしない。
C：VLANはネットワークの論理分割。変換とは別。
D：VPNは暗号化トンネル。アドレス変換が目的ではない。
試験対策ポイント：「IPアドレスの変換＝NAT」。ACL（許可リスト）と混同しない。
ワンポイント：ポート番号も使って複数端末を1つのグローバルIPに集約するのがPAT（NAPT）。
関連知識：NATの内部アドレス隠蔽はおまけのセキュリティ効果。本来の防御はFWが担います。
問題6
1台のスイッチを論理的に複数のネットワークに分割し、部署ごとに通信を分離してセキュリティを高めたい。使うべき技術はどれか。
A. NAT
B. VPN
C. VLAN
D. DMZ
正解 C
【解説】
答えはVLANです。VLAN（Virtual LAN）は、物理的には1台のスイッチでも、その中を論理的に複数のネットワークに区切る技術です。つまり同じスイッチにつながっていても、営業部と経理部のように通信を分けて互いに直接やり取りできないようにできます。なぜセキュリティに効くかというと、ある部署のPCがマルウェアに感染しても、VLANで区切っておけば他部署への横展開（ラテラルムーブメント）を抑えられるからです。現場では、Cisco Catalystスイッチなどで部署別・用途別にVLANを設計します。VLAN間の通信が必要なときはL3スイッチやルーターでルーティングし、そこにACLで制御をかけます。試験ではネットワークを分割して被害を局所化という文脈で問われます。
各選択肢の解説
A：NATはアドレス変換で、分割の技術ではない。
B：VPNは暗号化トンネル。ネットワーク分割とは別。
C：正しい。スイッチを論理分割し、通信を分離する。
D：DMZは公開サーバーを置く緩衝地帯。VLANとは目的が異なる。
試験対策ポイント：「論理的にネットワークを分割＝VLAN」。被害の局所化（セグメンテーション）の代表例。
ワンポイント：VLAN間通信はルーティングが必要。そこにACLをかけて制御するのが定番設計です。
関連知識：セグメンテーションは、侵入後の横展開を防ぐ重要な緩和策として頻出します。
問題7
なりすましメール（送信元を偽ったフィッシング）への対策として、送信ドメインの正当性を検証する仕組みの組み合わせはどれか。
A. AES・RSA・SHA
B. SPF・DKIM・DMARC
C. RTO・RPO・BIA
D. MAC・DAC・RBAC
正解 B
【解説】
答えはSPF・DKIM・DMARCの3点セットです。これらは、届いたメールが本物の送信元から送られたかを検証する仕組みです。かみ砕くと、SPFはそのIPアドレスから送っていいと登録されているかをチェック、DKIMは電子署名でメールが改ざんされていないかをチェック、DMARCはSPFやDKIMに失敗したメールをどう扱うか（拒否・隔離など）を指定します。なぜ必要かというと、メールは仕組み上かんたんに送信元を詐称でき、フィッシングの温床だからです。現場では、Microsoft 365やGoogle Workspaceを使う企業が自社ドメインにこの3つを設定してなりすましを防ぎます。試験ではなりすましメール対策というキーワードでこの組み合わせを選ばせます。3点セットで覚えるのがコツです。
各選択肢の解説
A：AES・RSA・SHAは暗号やハッシュのアルゴリズム。メール認証ではない。
B：正しい。送信ドメインを検証する3つの仕組み。
C：RTO・RPO・BIAは事業継続（BCP/DR）の指標。無関係。
D：MAC・DAC・RBACはアクセス制御モデル。メール認証とは別分野。
試験対策ポイント：「なりすましメール対策＝SPF・DKIM・DMARC」を3点セットで暗記。
ワンポイント：DMARCはポリシーを決める役割。SPF/DKIMの結果を受けて最終判断します。
関連知識：メールはフィッシングの主要な侵入口。添付やリンクの教育（意識向上）とも関連します。
問題8
無線LAN（Wi-Fi）で、現在最も安全とされ、利用が推奨される暗号化規格はどれか。
A. WEP
B. WPA
C. WPA2
D. WPA3
正解 D
【解説】
答えはWPA3です。無線の暗号化規格は古い順にWEP→WPA→WPA2→WPA3と進化してきました。つまり、いちばん新しいWPA3が最も強固で、いちばん古いWEPは既に解読方法が知られていて使ってはいけません。なぜ更新されてきたかというと、古い方式に弱点が見つかるたびに、より安全な方式へ置き換えられてきたからです。現場では、企業のWi-FiはWPA3（またはWPA2）を使い、さらに接続時に個人アカウントで認証する802.1X＋RADIUSを組み合わせます。認証サーバーにはCisco ISEやWindows ServerのNPSがよく使われます。試験では最も安全な無線規格でWPA3を選ばせ、WEPやWPA2と迷わせます。安全性の順序（WEP＜WPA＜WPA2＜WPA3）を覚えておけば迷いません。
各選択肢の解説
A：WEPは古く脆弱。簡単に解読されるため使用禁止レベル。
B：WPAはWEPの改良版だが旧世代。
C：WPA2は広く普及しているが、WPA3より前の世代。
D：正しい。現行で最も安全な無線暗号規格。
試験対策ポイント：安全性の順：WEP＜WPA＜WPA2＜WPA3。「最も安全＝WPA3」。
ワンポイント：企業Wi-Fiは暗号化（WPA3）に加えて、ユーザー認証（802.1X＋RADIUS）を併用します。
関連知識：個人利用はWPA3-Personal、企業は認証サーバー方式のWPA3-Enterprise。
問題9
ネットワーク機器へのログインを集中管理し、管理者ごとに使えるコマンドまで細かく制御したい。この用途に最も適したプロトコルはどれか。
A. TACACS+
B. RADIUS
C. DHCP
D. SNMP
正解 A
【解説】
答えはTACACS+です。TACACS+とRADIUSはどちらもログインを集中管理するAAA（認証・認可・記録）のプロトコルですが、得意分野が違います。TACACS+はCisco系で、認証と認可を分離でき、この管理者はこのコマンドだけ実行可といったコマンド単位の細かい制御が得意です。一方RADIUSは業界標準で、ユーザーがネットワークに接続する際の認証（Wi-Fiやリモートアクセス）に広く使われます。なぜ使い分けるかというと、ネットワーク機器の運用では誰にどこまで操作を許すかを厳密に管理したい場面が多く、そこでTACACS+のコマンド制御が活きるからです。現場ではCisco機器の管理をCisco ISEやTACACS+サーバーで集中管理します。試験ではコマンド単位の制御やTCPならTACACS+、ユーザーのネットワーク接続認証やUDPならRADIUS、と対比で問われます。
各選択肢の解説
A：正しい。Cisco系で認証と認可を分離でき、コマンド単位の制御に強い。TCPを使う。
B：RADIUSは業界標準で、主にユーザーのネットワークアクセス認証に使う。UDPを使う。
C：DHCPはIPアドレスの自動割り当て。認証管理ではない。
D：SNMPは機器の監視・管理プロトコル。ログイン認証の集中管理が主目的ではない。
試験対策ポイント：「コマンド単位の制御・TCP＝TACACS+」「ユーザー接続認証・UDP＝RADIUS」。
ワンポイント：どちらもAAAを担うが、TACACS+は認証と認可を分離できる点が最大の違い。
関連知識：Wi-Fiの802.1X認証にはRADIUSが使われる、という組み合わせもよく出ます。
問題10
ファイアウォールのルールを設計するとき、セキュリティ上、最も推奨される基本方針はどれか。
A. すべての通信を許可し、危険なものだけ個別に拒否する
B. よく使う通信だけ許可し、あとは様子を見る
C. デフォルトはすべて拒否し、必要な通信だけを明示的に許可する
D. 内部からの通信はすべて無条件に許可する
正解 C
【解説】
答えはデフォルト拒否（すべて拒否してから、必要な通信だけ許可する）です。つまり、最初はドアを全部閉めておいて、本当に必要な通信にだけ通行証を出す、という考え方です。なぜこれが安全かというと、危険なものだけ拒否する方式では、まだ知られていない攻撃や設定漏れがすり抜けてしまうからです。最初から閉じておけば、許可し忘れた通信は自動的に遮断され、事故が起きにくくなります。これは最小権限の考え方を、ネットワークに当てはめたものです。現場では、FortiGateやCisco ASAのポリシーを暗黙の拒否（implicit deny）を土台に、必要なルールだけ積み上げて設計します。試験ではファイアウォールの推奨方針としてデフォルト拒否を選ばせます。逆のデフォルト許可を選ばせるひっかけに注意しましょう。
各選択肢の解説
A：すべて許可してから拒否する方式は、漏れや未知の攻撃を通してしまう。危険。
B：様子を見るは方針として曖昧で、セキュリティ設計として不適切。
C：正しい。デフォルト拒否＋必要な通信だけ許可が鉄則。
D：内部からの通信を無条件に許可すると、感染端末の外部通信（C2など）を止められない。
試験対策ポイント：「ファイアウォールはデフォルト拒否」。最小権限のネットワーク版。
ワンポイント：多くのFWは末尾に暗黙の拒否ルールを持ちます。許可ルールに書かれない通信は自動で遮断。
関連知識：内部から外部への通信も監視・制御するのがゼロトラストの発想。
■ ここまでのミニまとめ（問題1〜10）
復習ポイント：公開サーバーはDMZ／検知はIDS・遮断はIPS／Web攻撃はWAF／リモート暗号化はVPN／アドレス変換はNAT／分割はVLAN／なりすましメールはSPF・DKIM・DMARC／無線はWPA3／コマンド制御はTACACS+／FWはデフォルト拒否。
重要用語まとめ：DMZ、IDS/IPS、WAF、NGFW、VPN、NAT、VLAN、SPF/DKIM/DMARC、WPA3、802.1X、RADIUS、TACACS+。
頻出ポイント：①IDSとIPSの違い（止めるか否か）②WAFとNGFWの使い分け（特化かどうか）③RADIUSとTACACS+の違い（用途とTCP/UDP）④FWはデフォルト拒否。この4つは特に狙われます。
現役エンジニアの視点：実務での使いどころ
実務でこの分野が効くのは、まさに現場でファイアウォールやスイッチを触るときです。たとえばIDSとIPSは、設計時に「検知だけでいいのか、遮断まで必要か」を必ず議論します。初学者がいちばん混同しやすいのがWAFとNGFWで、「Webアプリ専門ならWAF」と割り切ると現場でも迷いません。用語を暗記するだけでなく、「どの機器をどこに置くか」をイメージしながら解くと、実務でもそのまま役立ちます。
おわりに
お疲れさまでした。ネットワークセキュリティは、Security+の中でも攻撃を見つけて止める実践的な分野です。IDSとIPS、WAFとNGFW、RADIUSとTACACS+など、似た用語の違いを押さえるのが得点のコツです。
CompTIA Security+ 問題集シリーズ 全8回（分野別）
分野別に、1問ずつ徹底解説つきで公開しています。気になる分野・弱点分野からどうぞ。
- ①ネットワークセキュリティ（この記事）
- ②脅威・脆弱性
- ③ID・認証・アクセス制御
- ④暗号技術
- ⑤クラウド・仮想化
- ⑥ガバナンス・リスク・コンプライアンス
- ⑦インシデント対応・運用
- ⑧総合問題
👉 まずは全体像から：CompTIA Security+の勉強法・独学合格ロードマップ
コメント