【CompTIA Security+問題集】⑦インシデント対応・運用徹底解説つき「初心者向け無料演習」

この記事は、CompTIA Security+の「インシデント対応・セキュリティ運用」分野の演習問題を、1問ずつ徹底解説つきでお届けするシリーズ第7弾です。事故対応の流れ、SIEM/SOAR、フォレンジック、バックアップ、脆弱性管理など、実務に直結するテーマを整理します。

解説では、正解の理由だけでなく、不正解の選択肢がなぜ違うのかまで説明しています。まぎらわしい対（SIEMとSOAR、増分と差分、CVEとCVSS）を、ここで一気に整理しましょう。まずは何も見ずに解いてみてください。

インシデント対応・運用演習問題（全10問）
おわりに
CompTIA Security+ 問題集シリーズ全8回（分野別）

インシデント対応・運用演習問題（全10問）

問題1

インシデント対応で、感染端末をネットワークから切り離すなどして、被害がこれ以上広がらないよう食い止める段階はどれか。

A. 準備
B. 封じ込め（Containment）
C. 復旧
D. 事後対応（教訓）

正解　B

【解説】
答えは封じ込め（Containment）です。インシデント対応は、一般に準備→検知・分析→封じ込め→根絶→復旧→事後対応（教訓）の流れで進みます。封じ込めは、感染した端末をネットワークから切り離すなどして、被害がこれ以上広がらないよう食い止める段階で、まず出血を止める応急処置にあたります。実例として、ランサム感染端末のLANケーブルを抜く、該当セグメントを遮断する、などがあります。

各選択肢の解説
A：準備は、体制や手順を事前に整える段階。
B：正しい。被害の拡大を食い止める段階。
C：復旧は、正常な状態にシステムを戻す段階。
D：事後対応（教訓）は、振り返って再発防止に活かす段階。

試験対策ポイント：「被害拡大を止める＝封じ込め（Containment）」。まず止血。
ワンポイント：順序：準備→検知→封じ込め→根絶→復旧→教訓。流れで覚える。
関連知識：封じ込め後に、原因（マルウェア等）を除去するのが根絶（Eradication）。

問題2

インシデント対応の最後に、何が起きたか・対応は適切だったかを振り返り、再発防止に活かす段階はどれか。

A. 検知
B. 封じ込め
C. 根絶
D. 事後対応（教訓／Lessons Learned）

正解　D

【解説】
答えは事後対応（教訓／Lessons Learned）です。インシデント対応の最後の段階で、何が起きたか、対応は適切だったか、どうすれば防げたかを振り返り、手順や体制の改善につなげます。ここを省くと同じ事故を繰り返すため、対応の締めくくりとして極めて重要です。実例として、事後レビュー会議や再発防止レポートの作成があります。

各選択肢の解説
A：検知は、異常やインシデントを見つける段階。
B：封じ込めは、被害拡大を止める段階。
C：根絶は、原因を取り除く段階。
D：正しい。振り返り、再発防止に活かす最終段階。

試験対策ポイント：「振り返って再発防止＝事後対応（教訓）」。対応の締めくくり。
ワンポイント：ここを飛ばすと同じ事故を繰り返す。改善のループを回す要。
関連知識：教訓は次の「準備」にフィードバックされ、対応サイクルが一巡する。

問題3

サーバーやネットワーク機器、端末など多数のログを一元的に集約・相関分析し、脅威の兆候を検知する基盤はどれか。

A. SIEM
B. VPN
C. WAF
D. DLP

正解　A

【解説】
答えはSIEM（Security Information and Event Management）です。サーバー、ネットワーク機器、端末など多数のログを一元的に集約し、相関分析することで、単体のログでは見えない脅威の兆候を検知します。実例として、SplunkやMicrosoft Sentinelがあります。SOC（セキュリティ監視センター）の中核ツールで、検知はSIEM、対応の自動化はSOARが担う、と対で押さえます。

各選択肢の解説
A：正しい。ログを集約・相関して脅威を検知する基盤。
B：VPNは通信の暗号化。
C：WAFはWebアプリ防御。
D：DLPは情報の外部持ち出しを防ぐ仕組み。

試験対策ポイント：「ログを集約・相関して検知＝SIEM」。SOCの中核。
ワンポイント：検知＝SIEM、対応の自動化＝SOAR。役割分担を押さえる。
関連知識：大量のログから異常を見つけるため、近年はAI／機械学習も活用される。

問題4

SIEMなどが検知した後の対応（端末の隔離・チケット起票・通知など）を、あらかじめ定めた手順で自動化・連携させる仕組みはどれか。

A. SIEM
B. EDR
C. SOAR
D. IDS

正解　C

【解説】
答えはSOAR（Security Orchestration, Automation and Response）です。SIEMなどが検知した後の対応——端末の隔離、チケットの起票、通知——を、あらかじめ定めた手順書（プレイブック）に沿って自動化・連携させる仕組みです。人手が足りない現場で、定型的な初動を高速・確実に回すために使われます。SIEM（検知）とSOAR（対応の自動化）はセットで問われます。

各選択肢の解説
A：SIEMはログを集約して検知する基盤で、対応の自動化そのものではない。
B：EDRは端末の監視・対応ツール。
C：正しい。検知後の対応を自動化・連携する仕組み。
D：IDSは侵入検知システム。

試験対策ポイント：「検知後の対応を自動化＝SOAR」。プレイブックで初動を高速化。
ワンポイント：SIEM（検知）→SOAR（自動対応）の流れを押さえる。
関連知識：プレイブック（対応手順書）の整備が、SOAR活用の前提になる。

問題5

デジタル証拠を、誰が・いつ・どのように扱ったかを途切れなく記録し、法廷で有効な証拠として保全するための管理を何というか。

A. 揮発性の順序
B. 証拠保全の連鎖（Chain of Custody）
C. ハッシュ化
D. ログ相関

正解　B

【解説】
答えは証拠保全の連鎖（Chain of Custody）です。デジタル証拠を、誰が・いつ・どのように扱ったかを途切れなく記録し、改ざんや取り違えがないことを証明できる状態で管理することです。これが崩れると、せっかくの証拠が法廷で無効になりかねません。実例として、証拠の取得日時・担当者・保管場所を記録し、ハッシュ値で同一性を証明します。

各選択肢の解説
A：揮発性の順序は、消えやすい証拠から取る収集順の原則で、管理記録ではない。
B：正しい。証拠の取り扱いを途切れなく記録し保全する。
C：ハッシュ化は同一性の証明手段の一つ。
D：ログ相関は検知の手法。

試験対策ポイント：「証拠の取り扱いを記録・保全＝証拠保全の連鎖（Chain of Custody）」。
ワンポイント：これが途切れると、証拠の法的な有効性が失われる。
関連知識：証拠の同一性証明にはハッシュ値（SHA-256など）を使う。

問題6

フォレンジックで証拠を収集する際、メモリなど消えやすいものから先に取得するべきという原則はどれか。

A. 揮発性の順序（Order of Volatility）
B. 証拠保全の連鎖
C. 最小権限
D. 職務分離

正解　A

【解説】
答えは揮発性の順序（Order of Volatility）です。フォレンジック（証拠収集）では、消えやすいものから先に取得するのが鉄則です。メモリ（RAM）やCPUキャッシュのような揮発性の高い情報は、電源を切れば消えてしまうため最優先。逆に、ディスクやバックアップのような残りやすい情報は後回しでよい、という考え方です。

各選択肢の解説
A：正しい。消えやすいものから先に取得する原則。
B：証拠保全の連鎖は取り扱いの記録・保全。
C：最小権限は権限付与の原則。
D：職務分離は権限を分ける原則。

試験対策ポイント：「消えやすいものから先に取る＝揮発性の順序」。メモリが最優先。
ワンポイント：揮発性が高い順：CPUキャッシュ→メモリ→一時ファイル→ディスク。
関連知識：収集はイメージ（複製）を取り、原本には触れずに解析するのが原則。

問題7

毎回すべてのデータを丸ごとコピーする方式で、復元は速いが時間と保存容量を大きく消費するバックアップはどれか。

A. 増分バックアップ
B. 差分バックアップ
C. スナップショット
D. フルバックアップ

正解　D

【解説】
答えはフルバックアップです。毎回すべてのデータを丸ごとコピーする方式で、復元が最も速くて簡単（そのコピー1つで元に戻せる）な反面、毎回時間と保存容量を大きく消費します。実務では、週に1回フルバックアップを取り、平日は増分や差分で補う、といった組み合わせが一般的です。

各選択肢の解説
A：増分バックアップは前回以降の変更分だけを保存する。
B：差分バックアップは前回フル以降の変更分を保存する。
C：スナップショットはある時点の状態を丸ごと記録する技術で、運用分類とは別文脈。
D：正しい。毎回すべてを丸ごと保存する。復元は速いが重い。

試験対策ポイント：「毎回丸ごと・復元が速い＝フルバックアップ」。時間と容量は多い。
ワンポイント：フルは復元が速く容量が重い。増分・差分と組み合わせて運用する。
関連知識：バックアップの3-2-1ルール（3コピー・2媒体・1つは遠隔）も頻出。

問題8

前回のバックアップ以降に変更された分だけを保存し、バックアップは速いが復元にはフル＋その後すべてを順に適用する手間がかかる方式はどれか。

A. フルバックアップ
B. 差分バックアップ
C. 増分バックアップ
D. スナップショット

正解　C

【解説】
答えは増分バックアップです。前回のバックアップ（フルでも増分でも）以降に変更された分だけを保存する方式です。毎回の保存は速くて軽い反面、復元時にはフル＋その後すべての増分を順番に適用する必要があり、手間がかかります。よく比較される差分バックアップは、前回フル以降の変更分をまとめて保存するため、復元はフル＋最新の差分1つで済みます。

各選択肢の解説
A：フルバックアップは毎回すべてを保存する。
B：差分バックアップは前回フル以降の変更をまとめて保存する。
C：正しい。前回以降の変更分だけを保存する。速いが復元に手間。
D：スナップショットはある時点の状態を記録する技術。

試験対策ポイント：「前回以降の変更だけ・復元に手間＝増分」「前回フル以降・復元はフル＋1つ＝差分」。
ワンポイント：増分＝保存が軽く復元が重い、差分＝保存が重く復元が軽い。トレードオフ。
関連知識：フル＋増分／フル＋差分の復元手順の違いは頻出。図で整理する。

問題9

脆弱性の深刻度を0.0〜10.0の数値スコアで表し、対処の優先順位づけに使う共通の評価基準はどれか。

A. CVE
B. CVSS
C. CIA
D. CISA

正解　B

【解説】
答えはCVSSです。CVSS（Common Vulnerability Scoring System）は、脆弱性の深刻度を0.0〜10.0の数値スコアで表す共通の評価基準で、スコアが高いほど危険です。これにより、どの脆弱性から優先して対処すべきかを判断できます。よく混同されるCVEは、個々の脆弱性に付ける識別番号（例：CVE-2021-44228）で、番号がCVE・深刻度スコアがCVSSと区別します。

各選択肢の解説
A：CVEは脆弱性の識別番号で、深刻度スコアではない。
B：正しい。深刻度を0.0〜10.0で表す評価基準。
C：CIAは機密性・完全性・可用性の3要素。
D：CISAは米国のサイバーセキュリティ機関。

試験対策ポイント：「深刻度スコア0〜10＝CVSS」「識別番号＝CVE」。
ワンポイント：CVSSスコアで対応の優先順位を決める。9.0以上はCritical。
関連知識：脆弱性管理は、スキャン→CVSSで優先度づけ→パッチ適用、の流れ。

問題10

実際に攻撃者の視点でシステムへの侵入を試み、防御の弱点を実証的に評価する手法はどれか。

A. 脆弱性スキャン
B. 監査
C. リスク評価
D. ペネトレーションテスト

正解　D

【解説】
答えはペネトレーションテスト（ペンテスト）です。実際に攻撃者の視点でシステムへの侵入を試み、防御の弱点を実証的に評価する手法です。単に脆弱性の有無を機械的に一覧化する脆弱性スキャンと違い、本当に悪用できるかまで踏み込んで検証します。事前情報の量に応じて、ブラックボックス（情報なし）、ホワイトボックス（情報あり）、グレーボックス（一部あり）に分かれます。

各選択肢の解説
A：脆弱性スキャンは弱点を機械的に洗い出すが、実際の侵入までは行わない。
B：監査は統制の遵守状況を確認する活動。
C：リスク評価はリスクの分析・評価で、実際の攻撃はしない。
D：正しい。攻撃者視点で実際に侵入を試み、弱点を実証する。

試験対策ポイント：「実際に攻撃して弱点を実証＝ペネトレーションテスト」。
ワンポイント：スキャン＝弱点の洗い出し、ペンテスト＝実際に悪用できるか検証。深さが違う。
関連知識：事前情報量でブラック／ホワイト／グレーボックスに分類される。

■ ここまでのミニまとめ（問題1〜10）

復習ポイント：被害拡大を止める＝封じ込め／振り返り＝事後対応（教訓）／ログ集約で検知＝SIEM／対応の自動化＝SOAR／証拠の記録保全＝証拠保全の連鎖／消えやすい順＝揮発性の順序／毎回丸ごと＝フル／変更分だけ＝増分／深刻度スコア＝CVSS／実際に侵入＝ペンテスト。

重要用語まとめ：インシデント対応6段階、SIEM／SOAR／SOC、フォレンジック（証拠保全の連鎖・揮発性の順序）、バックアップ（フル／増分／差分・3-2-1）、CVE／CVSS、脆弱性スキャン／ペンテスト、EDR／XDR。

頻出ポイント：①インシデント対応の順序②SIEMとSOARの違い③増分と差分の違い④CVEとCVSSの違い。ここは特に狙われます。

現役エンジニアの視点：実務での使いどころ

インシデント対応は、実際に事故が起きたときの動き方そのものです。現場では「まず封じ込め（隔離）」が鉄則で、この順序を体で覚えているかが被害の大きさを左右します。SIEMとSOARの役割分担、バックアップのフル/増分/差分の違いは、運用設計で毎回悩むポイント。試験のための知識が、そのまま現場の初動対応に直結する実践的な分野です。