【CCNA問題集】⑤セキュリティの基礎徹底解説つき｜200-301 v1.1 無料演習

この記事は、CCNA（200-301 v1.1）の第5分野「セキュリティの基礎（Security Fundamentals・全体の約15%）」の演習問題を、1問ずつ徹底解説つきでお届けするシリーズ第5弾です。ACL、ポートセキュリティ、AAA、VPN、L2対策など、守りの基本を扱います。

解説では、正解の理由だけでなく、不正解の選択肢がなぜ違うのか、関連するCisco IOSコマンドまで説明しています。まぎらわしいセキュリティ機能を、ここで整理しましょう。

【PR】

徹底攻略Cisco CCNA問題集

楽天市場

Amazon

セキュリティの基礎演習問題（全10問）
おわりに
CCNA問題集シリーズ全6回（分野別）

セキュリティの基礎演習問題（全10問）

問題1

スイッチのポートに接続できるMACアドレスを制限し、許可されていない端末の接続を防ぐ機能はどれか。

A. DHCPスヌーピング
B. ポートセキュリティ
C. STP
D. NAT

正解　B

【解説】
答えはポートセキュリティです。ポートセキュリティは、スイッチの各ポートに接続を許可するMACアドレスを制限し、不正な端末が勝手につながるのを防ぐ機能です。上限を超えたり許可外のMACを検知すると、ポートを遮断（shutdown）するなどの動作を取れます。設定は switchport port-security 系のコマンドで行い、アクセスポートに設定します。

各選択肢の解説
A：DHCPスヌーピングは不正なDHCPサーバーを防ぐ機能。
B：正しい。ポートに接続できるMACアドレスを制限する。
C：STPはスイッチのループ防止。
D：NATはIPアドレスの変換。

試験対策ポイント：「ポートのMAC制限＝ポートセキュリティ」。
ワンポイント：違反時の動作はshutdown（既定）／restrict／protectから選ぶ。
関連知識：switchport port-security maximum で許可する台数を指定できる。

問題2

送信元IPアドレスだけを条件にして通信を許可・拒否する、番号1〜99を使う基本的なACLはどれか。

A. 拡張ACL
B. ダイナミックACL
C. 反射ACL
D. 標準ACL

正解　D

【解説】
答えは標準ACL（1〜99）です。標準ACLは、送信元IPアドレスだけを条件に通信を許可・拒否するシンプルなACLで、番号1〜99（拡張範囲1300〜1999）を使います。条件が送信元だけなので、制御は大まかです。設計上、標準ACLは「宛先に近い側」に置くのが定石です（送信元しか見ないため、手前に置くと必要な通信まで止めてしまう）。

各選択肢の解説
A：拡張ACL（100〜199）は送信元・宛先・ポートまで指定できる。
B：ダイナミックACLは認証後に一時的に許可する特殊なACL。
C：反射ACLは戻りの通信を自動許可する特殊なACL。
D：正しい。送信元IPだけを条件にする基本的なACL（1〜99）。

試験対策ポイント：「送信元だけ・番号1〜99＝標準ACL」。
ワンポイント：標準ACLは宛先に近い側に置くのが定石。
関連知識：拡張ACLは送信元に近い側に置く（早く止めてムダな通信を流さない）。

問題3

「認証（Authentication）」「認可（Authorization）」「アカウンティング（Accounting）」の3つの機能をまとめて何と呼ぶか。

A. CIA
B. STP
C. AAA
D. NAT

正解　C

【解説】
答えはAAAです。AAAは、誰かを確認する認証（Authentication）、何をしてよいか決める認可（Authorization）、何をしたか記録するアカウンティング（Accounting）の3つの頭文字をとった、アクセス管理の枠組みです。ネットワーク機器へのログイン管理などで使われ、認証情報を集中管理するRADIUSやTACACS+と組み合わせます。

各選択肢の解説
A：CIAは機密性・完全性・可用性のセキュリティ3要素で、別の概念。
B：STPはスイッチのループ防止。
C：正しい。認証・認可・記録の3機能の総称。
D：NATはIPアドレスの変換。

試験対策ポイント：「認証・認可・記録＝AAA」。
ワンポイント：認証情報の集中管理にはRADIUS／TACACS+を使う。
関連知識：CIA（機密性・完全性・可用性）と混同しない。

問題4

ネットワーク内に紛れ込んだ不正なDHCPサーバーを見分け、信頼できるポートからのDHCP応答だけを許可するL2セキュリティ機能はどれか。

A. DHCPスヌーピング
B. ポートセキュリティ
C. NTP
D. ACL

正解　A

【解説】
答えはDHCPスヌーピングです。攻撃者が偽のDHCPサーバーを立てると、偽のデフォルトゲートウェイを配って通信を盗み見る（中間者攻撃）などができてしまいます。DHCPスヌーピングは、ポートを「信頼（trust）」と「非信頼（untrust）」に分け、正規のDHCPサーバーがつながる信頼ポートからのDHCP応答だけを許可することで、これを防ぎます。

各選択肢の解説
A：正しい。信頼ポートからのDHCP応答だけを許可し、不正DHCPを防ぐ。
B：ポートセキュリティはMACアドレスの制限。
C：NTPは時刻同期。
D：ACLは通信の許可／拒否リスト。

試験対策ポイント：「不正DHCP対策＝DHCPスヌーピング（trust／untrustで制御）」。
ワンポイント：偽DHCPは中間者攻撃の入口になる。
関連知識：DAI（ダイナミックARPインスペクション）はスヌーピングの情報を利用する。

問題5

拠点間をインターネット経由で安全につなぐため、通信を暗号化するのに使われる代表的な技術はどれか。

A. Telnet
B. IPsec VPN
C. DHCP
D. CDP

正解　B

【解説】
答えはIPsec VPNです。IPsecは、インターネットのような公共の回線の上で、通信を暗号化して安全なトンネルを作る技術です。拠点間を常時つなぐサイト間VPNや、在宅勤務のリモートアクセスVPNで使われます。暗号化により、途中で盗聴されても中身を読まれません。IPsecは、機密性・完全性・認証をまとめて提供します。

各選択肢の解説
A：Telnetは平文のリモート接続で、暗号化しない。
B：正しい。通信を暗号化して拠点間を安全につなぐ。
C：DHCPはIP設定の自動割り当て。
D：CDPは隣接Cisco機器の検出。

試験対策ポイント：「拠点間の暗号化接続＝IPsec VPN」。
ワンポイント：用途で、サイト間VPNとリモートアクセスVPNに分かれる。
関連知識：IPsecは機密性・完全性・認証をまとめて提供する。

問題6

Ciscoルーターで、特権EXECモードのパスワードを暗号化した形で保存する、推奨されるコマンドはどれか。

A. enable secret
B. enable password
C. service telnet
D. no shutdown

正解　A

【解説】
答えは enable secret です。特権EXECモード（設定変更ができる管理者モード）のパスワードには、暗号化して保存される enable secret を使うのが推奨されます。よく似た enable password は暗号化されず平文で保存されるため、設定を見られると丸わかりで危険です。両方設定した場合は enable secret が優先されます。

各選択肢の解説
A：正しい。暗号化して保存される推奨コマンド。
B：enable password は平文で保存されるため非推奨。
C：service telnet はパスワード設定コマンドではない。
D：no shutdown はインターフェースを有効化するコマンド。

試験対策ポイント：「特権パスワードの暗号化保存＝enable secret（推奨）」。
ワンポイント：enable password は平文。両方あれば secret が優先。
関連知識：service password-encryption で他のパスワードも簡易暗号化できる。

問題7

偽のARP応答を流して通信を乗っ取る「ARPスプーフィング」を防ぐため、ARPパケットの正当性を検査するL2セキュリティ機能はどれか。

A. ポートセキュリティ
B. QoS
C. NAT
D. ダイナミックARPインスペクション（DAI）

正解　D

【解説】
答えはダイナミックARPインスペクション（DAI）です。ARPスプーフィングは、攻撃者が偽のARP（IPとMACの対応）を流して通信を自分に引き込み、盗聴・改ざんする中間者攻撃です。DAIは、DHCPスヌーピングで作った正しいIP-MAC対応表と照合し、偽のARPパケットを破棄することでこれを防ぎます。DHCPスヌーピングと組み合わせて使うのが基本です。

各選択肢の解説
A：ポートセキュリティはMACアドレスの台数・種類の制限。
B：QoSは通信の優先制御。
C：NATはIPアドレスの変換。
D：正しい。偽ARPを検査・破棄してARPスプーフィングを防ぐ。

試験対策ポイント：「ARPスプーフィング対策＝DAI」。
ワンポイント：DAIはDHCPスヌーピングの対応表を利用する。セットで使う。
関連知識：中間者攻撃（盗聴・改ざん）の代表的な防御策。

問題8

送信元・宛先のIPアドレスに加えて、プロトコルやポート番号まで条件にできる、より細かい制御が可能なACLはどれか。

A. 標準ACL
B. ポートセキュリティ
C. 拡張ACL
D. DHCPスヌーピング

正解　C

【解説】
答えは拡張ACLです。拡張ACL（番号100〜199、拡張範囲2000〜2699）は、送信元IPだけの標準ACLと違い、送信元・宛先の両方のIP、さらにプロトコル（TCP/UDP）やポート番号まで指定できます。これにより「この送信元から、あの宛先の80番ポートだけ許可」のような細かい制御が可能です。細かく判断できるぶん、送信元に近い側に置くのが定石です。

各選択肢の解説
A：標準ACLは送信元IPだけを条件にする。
B：ポートセキュリティはスイッチポートのMAC制限で、ACLではない。
C：正しい。送信元・宛先・プロトコル・ポートまで指定できる。
D：DHCPスヌーピングは不正DHCP対策で、ACLではない。

試験対策ポイント：「送信元・宛先・ポートまで＝拡張ACL（100〜199）」。
ワンポイント：拡張ACLは送信元に近い側に置く（早めに止める）。
関連知識：標準ACL（送信元のみ）との違いと、置く位置が頻出。

問題9

企業の無線LANで、利用者ごとに個別のアカウントで認証を行うために使う仕組みはどれか。

A. WEP
B. 802.1X（＋RADIUS）
C. NAT
D. STP

正解　B

【解説】
答えは802.1X（＋RADIUS）です。共有パスワード方式（WPA-Personal）と違い、802.1Xは利用者ごとにIDとパスワード（や証明書）で個別に認証する方式で、企業向けのWPA-Enterpriseで使われます。認証は背後のRADIUSサーバーが集中管理します。誰がいつ接続したかを管理でき、退職者のアカウント無効化なども個別に行える点が強みです。

各選択肢の解説
A：WEPは古く脆弱な暗号化規格で、認証の仕組みではない。
B：正しい。利用者ごとに個別認証する仕組み（企業向け）。
C：NATはIPアドレスの変換。
D：STPはスイッチのループ防止。

試験対策ポイント：「個別認証・企業向け＝802.1X（＋RADIUS）」。
ワンポイント：共有パスワードはWPA-Personal、個別認証はWPA-Enterprise。
関連知識：有線でも802.1Xでポート単位の認証ができる。

問題10

利用者やシステムに、業務に必要な最小限の権限だけを与えるセキュリティの基本原則を何というか。

A. 最小権限の原則
B. デフォルト許可
C. 冗長化
D. ロードバランシング

正解　A

【解説】
答えは最小権限の原則です。最小権限の原則（Least Privilege）は、利用者やシステムに、仕事に必要なぶんだけの権限を与え、余計な権限は持たせないという考え方です。万一アカウントが乗っ取られても、被害を最小限に抑えられます。ACLの「デフォルト拒否（必要な通信だけ許可）」や、管理者権限を必要な人だけに限定する運用も、この原則の実践です。

各選択肢の解説
A：正しい。必要最小限の権限だけを与える原則。
B：デフォルト許可は逆に危険で、原則に反する。
C：冗長化は可用性を高める仕組みで、権限管理ではない。
D：ロードバランシングは負荷分散で、権限管理ではない。

試験対策ポイント：「必要最小限だけ与える＝最小権限の原則」。
ワンポイント：ACLのデフォルト拒否も、ネットワーク版の最小権限。
関連知識：乗っ取り時の被害を最小化する、セキュリティの基本原則。

■ ここまでのミニまとめ（問題1〜10）

復習：ポートのMAC制限＝ポートセキュリティ／送信元だけ＝標準ACL／認証・認可・記録＝AAA／不正DHCP対策＝DHCPスヌーピング／拠点間暗号化＝IPsec VPN／特権PW暗号化＝enable secret／ARPスプーフィング対策＝DAI／送信元宛先ポート＝拡張ACL／個別認証＝802.1X／必要最小限＝最小権限。

頻出：①標準ACLと拡張ACLの違いと置く位置②enable secretとenable password③ポートセキュリティ・DHCPスヌーピング・DAIのL2対策④AAA。ここは特に狙われます。

現役エンジニアの視点：実務での使いどころ

ネットワークセキュリティは、実務で「通す/通さない」を設計する分野です。ACL（標準/拡張）や、ポートセキュリティ・DHCPスヌーピング・DAIといったL2対策は、現場で実際に設定します。特にACLは「置く位置」を間違えると意図しない通信まで止めてしまうので、標準は宛先寄り・拡張は送信元寄り、という原則が実務でも効きます。enable secret（暗号化）は基本中の基本です。