〇：VLAN

仮想LAN（VLAN）をシステムの標準的な物理的な場所にもかかわらず、リソース要件、セキュリティ、またはビジネスニーズに基づいて、コンピュータの論理的な分離とグループ化を可能にします。同じVLANネットワーク上に設定された同じ部署内のコンピュータは、すべてのユーザーが同じブロードキャストメッセージを受信することができ、物理的な場所に関係なく、同じ種類のリソースにアクセスできるようにします。

×：オープン・ネットワーク・アーキテクチャ  

オープンなネットワークアーキテクチャは、ネットワークを構成することができる技術を記述しているので間違っています。OSIモデルは、オープン・ネットワーク・アーキテクチャ内で動作する製品を開発するためのフレームワークを提供します。

×：イントラネット

イントラネットは、内部ネットワークにおいてインターネットとWebベースの技術を使用したいときに会社が使用するプライベートネットワークであるため、正しくありません。

×：VAN  

付加価値通信網（VAN）は、サービスビューローによって開発され、維持された電子データ交換（EDI）インフラストラクチャであるため、正しくありません。

〇：コマンドとデータを送信するには、Telnetを使用する必要があります。

Telnetは、管理者の資格情報を含むすべてのデータを平文で送信するため、リモート管理は許可しないでください。 この種の通信は、SSHのように、より安全なプロトコルを経由する必要があります。

×：少数の管理者がリモート機能を実行できるようにする必要があります。

少数の管理者だけがリモート機能を実行できるはずであるということが真実であるため、間違っています。 これにより、ネットワークにかかるリスクを最小限に抑えることができます。

×：重要なシステムは、リモートではなくローカルで管理することも検討しましょう。

クリティカルなシステムをリモートではなくローカルで管理する必要があることは事実であるため、間違っています。 パブリックネットワークを介して行うよりも、内部のプライベートネットワーク上で管理コマンドを送信する方が安全です。

×：強力な認証が必要です。

どんな管理活動のためにも強力な認証が必要であるということが真実であるため、間違っています。 パスワードなどの強力な認証よりも弱いものは、攻撃者が侵入して管理アクセス権を得るのは簡単です。

〇：DNSハイジャック

DNSは、インターネット上のトラフィックの伝送における素晴らしい役割を果たしています。DNSは、あるドメイン名に対応する適切なIPアドレスにトラフィックを誘導します。DNSクエリは、再帰または反復のいずれかに分類することができます。再帰クエリでは、DNSサーバーは、別のサーバーにクエリを転送し、質問者への適切な応答を返します。反復クエリでは、DNSサーバは質問に答えることができるかもしれない別のDNSサーバーのアドレスで応答し、さらに新しいDNSサーバーを尋ねるに進みます。攻撃者は、DNSサーバーのキャッシュを汚染するために再帰クエリを使用します。

攻撃者は、ドメインのIPアドレスを求める被害者のDNSサーバーに再帰クエリを送信します。DNSサーバは、別のDNSサーバにクエリを転送します。他のDNSサーバーが応答する前に、攻撃者は自分のIPアドレスを挿入します。被害者サーバは、IPアドレスを受け取り、特定の期間のためにキャッシュに格納します。次回は、システムが解決するためにサーバーを照会し、サーバが攻撃者のIPアドレスにユーザーを誘導します。

×：hostsファイルの操作

hostsファイルを操作すると、DNSサーバーのキャッシュを汚染するために再帰クエリを使用していないので、間違っています。クライアントは、最初のDNSサーバーに要求を発行する前に、hostsファイルを照会します。一部のウイルスは、ウイルス定義ファイルのダウンロードを防止し、検出を防止するために、hostsファイルにウイルス対策ベンダの無効なIPアドレスを追加します。

×：ソーシャルエンジニアリング

ソーシャルエンジニアリングは、DNSサーバに問い合わせる必要としないので、間違っています。ソーシャルエンジニアリングとは、不正アクセスや情報を得ることを目的とした個人の操作を指します。

×：ドメイン訴訟

ドメインの訴訟は、DNSサーバーのキャッシュをポイズニング伴わないので、間違っています。ドメイン名は、一時的な利用不能または確立されたドメイン名の永久的な損失を含む、商標上のリスクにさらされています。

〇：OSI参照モデル

OSI参照モデルはネットワーク通信を7層で区分したものである。アプリケーション通信とセッションという概念を分けているため、OSI参照モデルを基に明確に伝えられるだろう。よって正解は、「OSI参照モデル」になります。

×：TCP/IPモデル

TCP/IPモデルとは、OSI参照モデルよりもシステムの概念に近いレイヤーデザインです。TCP/IPモデルでは、OSI参照モデルのアプリケーション層、プレゼンテーション層、セッション層は、一つのアプリケーション層で表現されます。

×：データリンクモデル

そのようなモデルはありません。

×：Bibaモデル

Bibaモデルとは、データが勝手に変更されないことを示すセキュリティモデルの一つです。

ウェルノウンポート（well-known port）とは、定番なサービスのために予約されている0番から1023番のポート番号です。ポート番号の組み分けは３つあります。ウェルノウンポート番号 (0–1023)とは、IANAで正式に登録されているポート番号です。登録済みポート番号 (1024–49151) とは、IANAで正式に登録されているポート番号です。動的・プライベート ポート番号 (49152–65535) とは、IANAで正式に登録されていないポート番号です。

IEEE 802.11とは、IEEEにより策定された無線LAN規格の一つです。IEEE 802.11の規格ごとの最大速度と周波数は以下の通りになります。

種類　　　最大速度　　 周波数

802.11　　   2Mbps　　    2.4GHz

802.11a　　54Mbps　　   5GHz

802.11b　　11Mbps　　    2.4GHz

802.11g　　54Mbps　　   2.4GHz

802.11n　　600Mbps　　2.4GHz or 5GHz

802.11ac　   1.3Gbps　　  5GHz

周波数には、2.4GHz帯と5GHz帯があります。2.4GHzは障害物に強い一方で、5GHzは障害物は弱い側面があります。ただ、5GHzの方が安定した高速通信を行うことができます。

障害物の少ない環境で利用を想定しているため、5GHzに誘導しています。その中でもっとの速い規格は802.11aになります。

〇：DNSSEC

DNSSECは、DNSポイズニング、なりすまし、および同様の攻撃タイプの脅威を減らすためにDNSクライアント（リゾルバ）がDNSデータの発信元の認証を提供するDNSの拡張セットです。DNSSECは、IPネットワーク上で使用されるようにDNSによって提供されるサービスを確保するためのIETF（Internet Engineering Task Force）の仕様です。

×：リソースレコード

DNSサーバーはリソースレコードと呼ばれているIPアドレスにホスト名をマップするレコードが含まれています。回答としては、正しくありません。ユーザーのコンピュータは、ホスト名をIPアドレスに解決する必要がある場合、そのDNSサーバーを見つけるために、そのネットワーク設定に見えます。そして、コンピュータは解決のためにDNSサーバにホスト名を含む要求を送信します。DNSサーバはそのリソースレコードを見て、この特定のホスト名を持つレコードを見つけ、アドレスを取得し、対応するIPアドレスを持つコンピュータに応答します。

×：ゾーン転送

プライマリおよびセカンダリDNSサーバは、ゾーン転送を介して自分の情報を同期させます。回答としては、正しくありません。変更がプライマリDNSサーバに行われた後、これらの変更はセカンダリDNSサーバーにレプリケートする必要があります。ゾーン転送は、特定のサーバー間の場所を取ることができるようにDNSサーバーを設定することが重要です。

×：リソース転送

DNSのリソースレコードを転送することに相当しますが、回答としては正しくありません。

ポイントツーポイントトンネリングプロトコル（PPTP）は、仮想プライベートネットワーク（VPN）を実装するための方法です。これは、OSIモデルのデータリンク層で動作するマイクロソフト独自のVPNプロトコルです。PPTPは、単一の接続のみを提供することができ、PPP接続上で動作することができます。

〇：ソフトフォンはIP電話よりも安全である。 

IPソフトフォンは、注意して使用する必要があります。ソフトフォンは、ユーザーがインターネット経由でコンピュータを介して通話を行うことができるソフトウェアアプリケーションです。専用のハードウェアの代用となるソフトフォンは、従来の電話のように動作できます。ソフトフォンは、他のインタラクティブなインターネットアプリケーションよりも悪いわけではありませんが、IP電話がそうであるように音声トラフィックを行うため、マルウェアはより簡単にソフトフォンを介してネットワークに侵入することができます。よって正解は、「ソフトフォンはIP電話よりも安全である。 」になります。

誤っているものを選択する問題です。試験のテクニックとして、何の問題もない・セキュリティ対策を講じる必要はないということは基本的に正解でない場合が多いでしょう。

×：VoIPネットワークはデータネットワーク上で使用されるのと同じセキュリティコントロールで保護する必要がある。

VoIPも、他と同じセキュリティコントロールを講じる必要があります。

×：エンドポイントとしてIP電話は攻撃の対象になる。

IP電話は攻撃対象になる可能性があります。

×：音声が伝送される現在のインターネットアーキテクチャでは、物理的な電話回線よりも安全である。 

物理的な電話回線ほどクローズな環境ではないため、安全とは言い切れません。

HTTPS（Hypertext Transfer Protocol Secure）は、暗号化通信であるSSL/TLSによってセキュリティを高めたHTTPです。一般的なWebアプリケーションで利用されます。HTTPSを利用することで、通信経路での情報の盗聴や改ざんのリスクを防止できます。

各IPSec VPNのデバイスは、それが使用する各セキュアな接続のための少なくとも1つのセキュリティアソシエーション（SA）を持つことになります。IPSecのアーキテクチャにとって重要であるSAは、デバイスがVPN接続を介してIPSec接続をサポートする必要がある構成記録になります。

マトリックス型はネットワークトポロジではありません。リング型、メッシュ型、スター型はネットワークトポロジーです。

Diameterとは、RADIUSの後継となるAAA(Authentication, Authorization, Accounting)サービスを実装する認証プロトコルです。RADIUSの問題点の一つとしては、再送機能により発生しやすくなる輻輳を制御する機能がありません。これにより、パフォーマンスの低下やデータ損失が懸念されます。

無料のWi-Fi、特に知らない土地でのネットワーク接続は通信傍受などのセキュリティの懸念から避けるべきです。

Sender Policy Framework（SPF）は、電子メールのなりすましを検出してスパムや悪意のある電子メールを防止する電子メール検証システムです。 攻撃者は、通常、電子メールアドレスを偽装して、受信者がメッセージが既知の信頼できる発信元から来たものだと考えさせるようにします。 SPFを使用すると、ネットワーク管理者は、ドメインネームシステム（DNS）にSPFレコードを実装することで、特定のドメインからメールを送信できるホストを指定できます。 電子メールサーバーは、特定のドメインから送信された電子メールが、送信ドメインの管理者によって認可されたIPアドレスから送信されたことを確認するために、DNSサーバーで確認するように構成されています。

間違えた方は落ち込まないでください。問題文に”電子メール”と入っていっているため、これはとても意地悪な問題です。あなたの試験に対する勘所は正しいと思います。

CSMA / CD（Carrier Sense Multiple Access Collision Detection）とは、イーサネットのように同時に送信と受信が可能なシステムに使用されます。 2つのクライアントが同時にリッスンし、回線がクリアであることを確認すると、両方が同時に送信して衝突を引き起こす可能性があります。このシナリオを解決するためにCD（Collision Detection）が追加されています。クライアントは、回線がアイドル状態であるかどうかを確認し、アイドル状態の場合は送信します。使用中の場合、ランダムな時間（ミリ秒）待機します。送信中、彼らはネットワークを監視しており、送信よりも多くの入力が受信された場合、別のクライアントも送信しており、他のノードに送信を停止するように指示するジャム信号を送信し、ランダムな時間待機してから再送信を開始します。

〇：ルータが一元管理され、コントローラの指示に基づいてパケットを制御する方法 

ソフトウェア定義ネットワーク（SDN）はルーティングの決定とインタフェースとの間でデータを渡し、その機械的機能を作るのルータの論理機能を分離するために、ルーティングの決定を集中管理しやすくすることを意図しています。SDNアーキテクチャは、スケーラブル、プログラム可能な方法で、ルータの制御ロジックを提供する標準方法であることを意図しています。よって正解は、「ルータが一元管理され、コントローラの指示に基づいてパケットを制御する方法  」になります。

×：MACアドレスとIPアドレスの間のマッピング

ARPテーブルの説明です。

×：動的な方法でルーティングテーブル の更新

ダイナミックルーティングの説明です。

×：イベント発生時、ルータが互いにルーティングテーブルを更新のための通信をする方法

通信不通時のルーティング制御の説明です。

〇：ソケット

UDP（User Datagram Protocol）とTCP（Transmission Control Protocol）は、アプリケーションがネットワークを介してデータを取得するために使用するトランスポートプロトコルです。 どちらも、ポートを使用して上位のOSIレイヤと通信し、同時に発生するさまざまな会話を追跡します。 ポートは、他のコンピュータがどのようにサービスにアクセスするかを識別するために使用されるメカニズムでもあります。 TCPまたはUDPメッセージが形成されるとき、送信元および宛先ポートは、送信元および宛先IPアドレスとともにヘッダ情報内に含まれます。このIPアドレスとポート番号をソケットと言います。IPアドレスはコンピュータへの出入口として機能し、ポートは実際のプロトコルまたはサービスへの出入口として機能します。

×：IPアドレス

IPアドレスがサービスやプロトコルとの通信方法をパケットに伝えていないため、間違っています。 IPアドレスの目的は、ホストまたはネットワークインタフェースの識別とロケーションのアドレッシングです。 ネットワーク内の各ノードには一意のIPアドレスがあります。 この情報は、送信元ポートおよび宛先ポートとともに、ソケットを構成します。 IPアドレスはどこに行くべきかをパケットに伝え、ポートは適切なサービスまたはプロトコルとの通信方法を示します。

×：ポート

ポートはパケットに適切なサービスまたはプロトコルとの通信方法のみを通知するため、正しくありません。 それはどこに行くべきかをパケットに伝えません。 IPアドレスはこの情報を提供します。 ポートは、TCPやUDPなどのIPプロトコルで使用される通信エンドポイントです。 ポートは番号で識別されます。

×：フレーム

フレームは、データリンク層にヘッダとトレーラが与えられた後にデータグラムを参照するために使用される用語であるため、間違っています。

〇：攻撃受けた際に早期の検知、もしくは囲うため。

攻撃者は実質的な攻撃を仕掛ける前に調査を行います。そうした場合、脆弱性のあるネットワークを用意することで攻撃者がどこからアクセスしてくるのかなど予防する情報を得ることができます。なぜなら、攻撃者でなければネットワークに侵入するという動機がないからです。ハニーポッドなどの脆弱性のあるネットワークドメインはこういった侵入をしやすくすることで、攻撃者の動作を明確にします。よって正解は、「攻撃受けた際に早期の検知、もしくは囲うため。」になります。

×：現行の環境でシステム停止が発生したときのためのデバッグ用環境。

脆弱性のある環境を意図的に作ることに答えていません。環境を作った結果、脆弱性があったという結果にすぎません。

×：古い脆弱性によるリグレッションを防ぐ狙い。

古い脆弱性であっても対処するべきであって残留させる意味はありません。

×：サポート切れのバージョンの低い製品を動作させるための特殊環境。

脆弱性のある環境を意図的に作ることに答えていません。環境を作った結果、脆弱性があったという結果にすぎません。

イーサネットとは、ローカルエリア・ネットワークに使われる通信のやり方です。LANとかはイーサネットで通信しています。つまり、今はほとんどがイーサネットでの通信です。

実際にはこのような問題にまじめに取り合うべきではありません。名前と通信速度と最大距離の紐づけを覚えるような対策は個人的にはお勧めしません。覚えるとしても「後ろに’Th’みたいなのがついたら100m以上なんだな、あとはXXXBaseという通信速度が出るんだな」程度で十分でしょう。