CISSP Domain 4（通信とネットワークのセキュリティ）攻略｜出題13%の要点と頻出テーマ

執筆・監修：飯塚 寛也（株式会社iT 代表取締役）
文系・未経験からインフラエンジニアへ転職し、医療・警察・官公庁・交通・証券などの設計構築案件に従事。クラウド基盤の設計構築でネットワークチームの現場リーダーを務めたのち、CCNA・CCNP研修を立ち上げ、延べ1,000名以上のCCNA取得者を輩出。著書『ゼロからわかるCISSP教科書（日本語版）』（Kindle）。

CISSP®の8ドメインのうち、インフラ・ネットワークエンジニアが最も戦いやすいのがDomain 4です。出題比率はISC2の公表値で13%。VLAN、IPsec、802.1X、ファイアウォール。日々の運用で触っている技術がそのまま出題範囲です。

ところが、この「得意なはずの領域」で点を落とす人が後を絶ちません。CISSPが聞くのは設定手順ではなく判断基準だからです。この記事では出題範囲を出題される切り口で整理し、インフラ出身者が踏みやすい落とし穴まで示します。

この記事で分かること

• Domain 4（通信とネットワークのセキュリティ）の3つの出題の柱
• OSI参照モデルの層番号が、選択肢を切る根拠として使われる理由
• 平文プロトコルとセキュアプロトコルの対応表、IPsecのモード選択
• ネットワーク分離、無線、VoIP、仮想化ネットワークの頻出論点
• 技術的に正しい選択肢が不正解になる3パターンと、例題2問

Domain 4はどんな領域か

Domain 4の正式名称は「通信とネットワークのセキュリティ（Communication and Network Security）」です。2024年4月15日版の試験アウトラインで、出題比率は13%と定められています。

D1（セキュリティとリスクマネジメント）が16%で最大、次いでD3・D4・D5・D7が各13%で並びます。Domain 4は最大配点グループの一角です。試験は100〜150問のCAT形式なので、Domain 4を落とすと合否に直結します。

インフラ出身者にとっての位置づけ

CCNA、CCNPを取得している人なら、Domain 4の技術用語の大半はすでに知っているはずです。だからこそ、他ドメインで苦戦する分をここで取り返す戦略が成立します。

ただし条件があります。「設定できる」ことと「なぜその設計を選ぶのか説明できる」ことは別だと自覚することです。CISSPが問うのは後者です。

Domain 4で問われる3つの柱

ISC2の試験アウトラインでは、Domain 4は3つのサブドメインで構成されます。学習の骨組みとしてそのまま使えます。

• 柱1：セキュアな設計原則をネットワークアーキテクチャに適用する（どう組むか）。OSI／TCP/IPモデル、IPv4とIPv6、セキュアプロトコルの選択、マイクロセグメンテーション、無線・セルラー・衛星の伝送方式、CDN
• 柱2：セキュアなネットワークコンポーネント（何を置くか）。機器の冗長化とファームウェア管理、伝送媒体、ネットワークアクセス制御（NAC）、エンドポイントセキュリティ
• 柱3：設計に従ったセキュアな通信チャネルの実装（どう通すか）。音声（VoIP）、マルチメディア協調、リモートアクセス、データ通信、仮想化ネットワーク、サードパーティ接続

この3分割は暗記する価値があります。設問を読んで「これは柱2の話だ」と当たりがつけば、選択肢の粒度も見えます。

OSI参照モデルとTCP/IPモデル

CISSPでは、OSI参照モデルの層番号が選択肢を切る根拠として使われます。「ARPスプーフィングを緩和する対策はどれか」という設問なら、レイヤ3以上の対策はそれだけで消せます。ARPは第2層のプロトコルだからです。下表が各層の代表プロトコルと脅威・対策の対応です。

TCP/IPモデルとの対応

TCP/IPモデルは4層です。アプリケーション層（OSIの5〜7）、トランスポート層（OSIの4）、インターネット層（OSIの3）、リンク層（OSIの1〜2）に対応します。この対応関係も設問に出ます。

TLSの位置づけには注意してください。TLSはトランスポート層の上で動作しますが、教材によってセッション層に分類する記述もあります。「トランスポート層より上」と押さえれば十分で、層番号を1つに決め打ちしないでください。

セキュアプロトコルの整理

Domain 4で最も直接的に点になるのが、平文プロトコルと置き換え先の対応です。実務で「なんとなく暗号化されている」と済ませている部分を整理します。

DNSSECの行は特に注意してください。DNSSECが守るのは「正しいゾーンから来た改ざんされていない応答か」であり、通信内容は暗号化されません。「盗聴を防ぎたい」という設問でDNSSECを選ぶと外します。暗号化が要件ならDoTかDoHです。

IPsecの押さえどころ

IPsecは頻出テーマです。次の2軸を分けて覚えてください。

プロトコルの軸：AH（Authentication Header）は完全性と送信元認証を提供しますが暗号化しません。ESP（Encapsulating Security Payload）は暗号化に加えて完全性・認証も提供できます。機密性が要件なら答えはESPです。

モードの軸：トランスポートモードはIPペイロードだけを保護し、元のIPヘッダは残ります。ホスト間通信向けです。トンネルモードは元のIPパケット全体を包んで新しいIPヘッダを付けます。サイト間VPN向けで、送信元・宛先IPまで隠せます。

鍵交換とSA（セキュリティアソシエーション）の確立はIKEが担います。AHは元のIPヘッダまで完全性の対象に含むため、NATを通ると壊れます。NAT環境ではESPとNATトラバーサルの組み合わせが実際的です。

ネットワーク分離とセグメンテーション

「侵害される前提で、被害範囲をどう限定するか」。これがDomain 4の設計思想です。

分離の手段

• VLAN：第2層でブロードキャストドメインを分ける。VLANホッピング（スイッチスプーフィング、ダブルタギング）対策として、DTP無効化、ネイティブVLANの変更、未使用ポートの停止を行う
• サブネット分割：第3層での分離。ルータやファイアウォールのACLで制御する
• DMZ（スクリーンドサブネット）：外部公開サーバを内部LANから隔離し、侵害されても内部へ横展開させない
• マイクロセグメンテーション：ワークロード単位でポリシーを適用し、東西方向のトラフィックを制御する
• ゼロトラスト：ネットワーク位置による暗黙の信頼を排除し、アクセスのたびに検証する

ファイアウォールの種類と判断材料

なお世代で整理する場合は、第1世代がパケットフィルタ、第2世代がアプリケーションレベルゲートウェイ（プロキシ）、第3世代がステートフルインスペクションです。順序を取り違えないでください。

IDSとIPSの配置

IDSは検知のみで、通常はミラーポートやTAPによるアウトオブバンド配置です。IPSは経路上（インライン）に置き遮断まで行います。「止めずに監視したい」ならIDS、「自動遮断が要件」ならIPSです。

検知方式も押さえてください。シグネチャベースは既知の攻撃に強く未知に弱い。アノマリ（振る舞い）ベースは未知を捉えられますが誤検知が増えます。この誤検知は業務影響として設問に出ます。

無線・モバイル・リモートアクセス

無線LANの暗号化

WPA2はCCMP（AESベース）を使います。ただしPSKモードでは、4ウェイハンドシェイクを捕捉されるとオフラインで辞書攻撃をかけられます。WPA3のパーソナルモードはSAEという鍵交換でこの耐性を高めています。WEPとTKIPは安全とみなされず、消去対象です。

802.1XとEAP

802.1Xはポートベースのアクセス制御です。登場人物は3者。サプリカント（端末）、オーセンティケータ（スイッチやAP）、認証サーバ（RADIUSなど）です。認証が通るまでポートは開きません。

EAPは認証方式を運ぶフレームワークです。EAP-TLSは双方が証明書を持つ相互認証で強度が高い一方、PKIの運用負荷を伴います。PEAPやEAP-TTLSはサーバ証明書でトンネルを作り、その内側でユーザ認証を行います。

無線の脅威

• Rogue AP：許可なく社内ネットワークに接続されたAP。従業員が善意で設置する場合も含む
• Evil Twin：正規と同じSSIDを名乗る偽AP。利用者を誘い込んで通信を中継する
• Bluetooth：bluejacking（一方的なメッセージ送付）、bluesnarfing（データの不正取得）。既定のペアリングコードを変更し、不要時は検出不可にする

VPNの2形態

リモートアクセスVPNは個々の端末を企業ネットワークに接続します。TLSベースのVPNやIPsecクライアントが使われます。スプリットトンネリングを許可すると、端末が社内と外部に同時接続する状態になりリスクが上がります。

サイト間VPNは拠点間をゲートウェイ同士で結びます。IPsecのトンネルモードが典型です。

VoIP・コンバージドプロトコル・仮想化ネットワーク

VoIP

SIPがシグナリング（呼の確立・終了）、RTPが音声メディアの転送を担います。どちらも既定では暗号化されず、保護するならSIPS（SIP over TLS）とSRTPの組み合わせです。

脅威は、通話の盗聴、呼の乗っ取り、SPIT（VoIP版の迷惑通話）、ヴィッシング（音声を使ったフィッシング）です。設計上の定番対策は、音声トラフィックを専用VLANに分離することです。

コンバージドプロトコル

ストレージや制御系をデータネットワークと同じ基盤に載せる技術群です。

• iSCSI：SCSIコマンドをTCP/IP上で運ぶ。既定では平文のため、CHAP認証やIPsecでの保護、ストレージ網の分離が必要
• FCoE：Fibre ChannelをEthernetフレームに載せる。IPに乗らないためルーティングできず、同一レイヤ2ドメイン内に閉じる

仮想化ネットワークとサービス

• SDN：コントロールプレーンとデータプレーンを分離し集中制御する。柔軟性が上がる一方、コントローラが最重要の防御対象になる
• SD-WAN：複数のWAN回線をポリシーで使い分ける。拠点側機器の管理とオーバーレイの暗号化が論点
• CDN：コンテンツを地理的に分散配信する。可用性の向上とDDoSの吸収に寄与する

インフラ出身者が「知識で答えて外す」パターン

ここがDomain 4で最も重要な節です。技術知識が十分でも落とすのは、設問が聞いていることを読み違えるからです。典型は3つあります。

パターン1：技術的な最善手を、承認プロセスを飛ばして選ぶ

「本番ファイアウォールのルールに問題を見つけた」という設問で「直ちに修正する」を選ぶ。実務では正しく見えますが、CISSPでは変更管理プロセスに乗せることが期待されます。緊急変更も含め、手続きがある前提で答えます。

パターン2：対症療法を、根本原因より先に置く

Rogue APの撤去は対症療法です。なぜ設置されたのか（無線の提供範囲が足りない、申請が煩雑）に踏み込まないと再発します。「最も効果的な長期対策は」と聞かれたら、NACやポリシーと教育が答えです。

パターン3：設問の動詞を読まずに、最強の技術を選ぶ

「MOST effective（最も効果的）」「FIRST（最初に）」「BEST（最適）」で正解は変わります。FIRSTを聞かれて恒久対策を選ぶ、MOST effectiveを聞かれて応急処置を選ぶ。この読み違えが失点の大半です。

例題で確認する

例題1

設問：ある企業が本社と支社をインターネットVPNで接続します。要件は「WAN区間を流れる業務データの盗聴と改ざんを防ぐこと」と「通信する内部ホストのIPアドレスを外部から見えなくすること」です。最も適切な構成はどれですか。

1. IPsec AH をトランスポートモードで使用する
2. IPsec ESP をトンネルモードで使用する
3. IPsec AH をトンネルモードで使用する
4. GREトンネルを構成し、経路をACLで制限する

正解：2

解説：要件は機密性と完全性の両方です。AHは完全性と認証を提供しますが暗号化しないため、1と3は機密性を満たしません。GREはカプセル化するだけで暗号化しないので4も不適切です。さらに「内部ホストのIPを隠す」要件があるため、元のIPヘッダごと包むトンネルモードが必要になります。

例題2

設問：担当者が、社内ネットワークに接続された未承認のアクセスポイント（Rogue AP）を検知しました。設置者は不明です。最初に取るべき行動はどれですか。

1. デオーセンティケーションフレームを送信し、接続中の端末を切断する
2. APを物理的に探し出し、その場で撤去して持ち帰る
3. 組織のインシデント対応手順に従って報告し、封じ込めの手順を開始する
4. 再発防止のため、無線侵入防止システム（WIPS）の導入を提案する

正解：3

解説：「最初に」を問う設問です。CISSPでは、定められたインシデント対応手順に沿って動くことが優先されます。1は近隣の正規利用者にも影響が及び、電波の妨害行為として法的な問題を伴う場合があります。2は証拠保全や記録の手順を飛ばしており、単独行動としても不適切です。4は正しい長期対策ですが「最初に」の答えではありません。技術的な有効性ではなく、手順のどの段階かで選びます。

例題1は純粋な知識問題、例題2は判断の問題です。Domain 4には両方が混ざって出ます。全ドメインの例題10問と日本語解説でこの混ざり方に慣れてください。日本語で解説を読みながら演習できる環境があると、判断のズレをその場で潰せます。

Domain 4の学習手順と、他ドメインとの接続

仕上げる順序

1. OSIの7層を骨組みにする：各層のプロトコル・脅威・対策を自分の言葉に置き換える
2. 平文とセキュアの対応表を暗記する：ポート番号まで口に出せる状態にする
3. IPsecを2軸で整理する：AH／ESP、トランスポート／トンネルの4象限で説明できるようにする
4. 分離の手段を並べ直す：VLAN・サブネット・DMZ・マイクロセグメンテーションを粒度順に並べる
5. 設問形式で解く：知識を確認したらすぐ演習に移る。読むだけでは判断は育ちません

他ドメインとのつながり

• D3（アーキテクチャとエンジニアリング）：TLSやIPsecで使う暗号アルゴリズム、PKIと証明書はD3の範囲。EAP-TLSの理解にはD3が要ります
• D5（IAM）：802.1XとRADIUS、NACはD5の認証・認可と直結します。「誰を通すか」はD5、「どう通すか」がD4です
• D7（セキュリティの運用）：IDS/IPSのログ、インシデント対応、監視の設計はD7と重なります。例題2はD4とD7の境界です

Domain 4を単独で仕上げようとすると、この重なりで混乱します。逆に言えば、D4を軸にD3・D5・D7へ広げる学習は効率的です。

全体像と受験条件はCISSPとは何の資格かで、学習全体の組み直しはCISSPの勉強方法とロードマップで確認できます。Domain 4は得点源にできる領域です。手持ちの知識を、CISSPが求める判断の形に翻訳する作業から始めてください。

※ CISSP® は ISC2, Inc. の登録商標です。本記事および当社教材は ISC2, Inc. の公式教材ではなく、同社と提携・後援その他の関係にはありません。