CompTIA CASP+ 認定試験は、セキュリティ アーキテクチャと上級セキュリティ エンジニアリングの仕事に必要な技術スキルを網羅する、上級レベルのサイバーセキュリティ資格です。
このガイドでは、CASP+ 認定試験の 4 つの知識ドメインと、CAS-004 試験で予想されるサブトピックについて説明します。
CompTIA Advanced Security Practitioner (CASP+) は、セキュリティ アーキテクトと上級セキュリティ エンジニア向けの上級レベルのサイバーセキュリティ認定であり、企業のサイバーセキュリティ準備状況を評価するリスクとコンプライアンスのスキルを検証します。
CASP+ 認定は米国国防総省によって承認されており、指令 8140/8570.01-M の要件を満たし、ISO 17024 標準に準拠しています。
認定 CASP+ プロフェッショナルとして、組織の運用戦略を含む適切なセキュリティ ソリューションを提案および適用し、リスクの影響を評価し、セキュリティ インシデントに対応するために、技術スキルと批判的思考を実装する必要があります。
[CompTIA CASP+ 認定プロフェッショナルに合格するには、次のスキルが必要です。
必須試験: CAS-004 質問数: 最大 90 質問の種類: 多肢選択式およびパフォーマンス ベース テスト時間: 165 分 推奨される経験: 一般的な実務 IT 経験が最低 10 年あり、そのうち少なくとも 5 年は幅広い実務 IT セキュリティ経験があること。Network+、Security+、CySA+、Cloud+、PenTest+ または同等の認定/知識。 合格点: 合格/不合格のみ - スケールスコアなし
試験の割合とともに各ドメインの内訳は次のとおりです。4 つの主要部分に分かれている CompTIA CASP+ 試験の目標を簡単に見てみましょう。
1.0 セキュリティ アーキテクチャ - 29% 2.0 セキュリティ運用 - 30%
3.0 セキュリティ エンジニアリングと暗号化 - 26% 4.0 ガバナンス、リスク、コンプライアンス - 15%
1.1 シナリオが与えられた場合、セキュリティ要件と目標を分析して、新規または既存のネットワークに適切で安全なネットワーク アーキテクチャを確保します。
• サービス
• セグメンテーション
• 境界解除/ゼロ トラスト
• さまざまな組織のネットワークの統合 • ソフトウェア定義ネットワーク (SDN)
1.2 シナリオが与えられた場合、組織の要件を分析して、適切なインフラストラクチャ セキュリティ設計を決定します。
• スケーラビリティ • 回復力 • 自動化 • パフォーマンス • コンテナ化 • 仮想化 • コンテンツ配信ネットワーク • キャッシュ
1.3 シナリオが与えられた場合、ソフトウェア アプリケーションをエンタープライズ アーキテクチャに安全に統合します。
• ベースラインとテンプレート • ソフトウェア保証 • エンタープライズ アプリケーションの統合に関する考慮事項 • 開発ライフサイクルへのセキュリティの統合
1.4 シナリオが与えられた場合、エンタープライズ アーキテクチャを保護するためのデータ セキュリティ手法を実装します。
• データ損失防止 • データ損失検出 • データの分類、ラベル付け、タグ付け • 難読化 • 匿名化 • 暗号化と非暗号化の比較 • データ ライフサイクル • データ インベントリとマッピング • データ整合性管理 • データの保存、バックアップ、および回復
1.5. シナリオが与えられた場合、セキュリティ要件と目的を分析して、適切な認証および承認制御を提供します。
• 認証情報管理 • パスワード ポリシー • フェデレーション • アクセス制御 • プロトコル • 多要素認証 (MFA) • ワンタイム パスワード (OTP) • ハードウェア ルート オブ トラスト • シングル サインオン (SSO) • JavaScript Object Notation (JSON) Web トークン (JWT) • 証明と ID 証明
1.6. 一連の要件に基づいて、安全なクラウドおよび仮想化ソリューションを実装します。
• 仮想化戦略 • プロビジョニングとプロビジョニング解除 • ミドルウェア • メタデータとタグ • 展開モデルと考慮事項 • ホスティング モデル • サービス モデル • クラウド プロバイダーの制限 • 適切なオンプレミス制御の拡張 • ストレージ モデル
1.7. 暗号化と公開鍵インフラストラクチャ (PKI) がセキュリティの目標と要件をどのようにサポートするかを説明します。
• プライバシーと機密性の要件 • 整合性の要件 • 否認防止 • コンプライアンスとポリシーの要件 • 一般的な暗号化の使用例 • 一般的な PKI の使用例
1.8. 新興技術が企業のセキュリティとプライバシーに与える影響を説明します。
• 人工知能 • 機械学習 • 量子コンピューティング • ブロックチェーン • 準同型暗号化 • ビッグデータ • 仮想/拡張現実 • 3D 印刷 • パスワードレス認証 • ナノテクノロジー • ディープラーニング • 安全なマルチパーティ コンピューティング • 分散コンセンサス • 生体認証によるなりすまし
2.1. シナリオが与えられた場合、脅威管理アクティビティを実行します。
• インテリジェンスの種類 • アクターの種類 • 脅威アクターの特性 • フレームワーク
2.2. シナリオが与えられた場合、侵害の兆候を分析し、適切な対応を策定します。
• 侵害の兆候 • 対応
2.3. シナリオが与えられた場合、脆弱性管理アクティビティを実行します。
• 脆弱性スキャン • 自己評価とサードパーティベンダーによる評価 • パッチ管理 • 情報源 • セキュリティコンテンツ自動化プロトコル (SCAP)
2.4. シナリオが与えられた場合、適切な脆弱性評価および侵入テストの方法とツールを使用します。
• 方法 • ツール • 依存関係管理 • 要件
2.5. シナリオが与えられた場合、脆弱性を分析し、リスク軽減策を推奨します。
• 脆弱性 • 本質的に脆弱なシステム/アプリケーション • 攻撃
2.6. シナリオが与えられた場合、プロセスを使用してリスクを軽減します。
• プロアクティブおよび検出 • セキュリティデータ分析 • 予防的 • アプリケーション制御 • セキュリティ自動化 • 物理的セキュリティ
2.7. インシデントが発生した場合、適切な対応を実施します。
• イベントの分類 • トリアージ イベント • 事前エスカレーション タスク • インシデント対応プロセス • 特定の対応プレイブック/プロセス • コミュニケーション プラン • ステークホルダー管理
2.8. フォレンジックの概念の重要性を説明します。
• 法的目的と社内目的 • フォレンジック プロセス • 整合性の保持 • 暗号解析 • ステガナリシス
2.9. シナリオが与えられた場合、フォレンジック分析ツールを使用します。
• ファイル カービング ツール • バイナリ解析ツール • 分析ツール • イメージング ツール • ハッシュ ユーティリティ • ライブ コレクションと事後分析ツール
3.1. シナリオが与えられた場合、エンタープライズ モビリティに安全な構成を適用します。
• 管理対象構成 • 展開シナリオ • セキュリティに関する考慮事項
3.2. シナリオが与えられた場合、エンドポイント セキュリティ制御を構成して実装します。
• 強化技術 • プロセス • 必須アクセス制御 • 信頼できるコンピューティング • 補償制御
3.3. 特定のセクターと運用テクノロジーに影響を与えるセキュリティの考慮事項について説明します。
• 組み込み • ICS/監視制御およびデータ収集 (SCADA) • プロトコル • セクター
3.4. クラウド テクノロジーの採用が組織のセキュリティに与える影響について説明します。
• 自動化とオーケストレーション • 暗号化構成 • ログ • 監視構成 • キーの所有権と場所 • キーのライフサイクル管理 • バックアップとリカバリの方法 • インフラストラクチャとサーバーレス コンピューティング • アプリケーション仮想化 • ソフトウェア定義ネットワーク • 構成ミス • コラボレーション ツール • ストレージ構成 • クラウド アクセス セキュリティ ブローカー (CASB)
3.5. ビジネス要件に基づいて、適切な PKI ソリューションを実装します。
• PKI 階層 • 証明書の種類 • 証明書の使用法/プロファイル/テンプレート • 拡張機能 • 信頼できるプロバイダー • 信頼モデル • 相互認証 • プロファイルの構成 • ライフサイクル管理 • 公開鍵と秘密鍵 • デジタル署名 • 証明書のピン留め • 証明書のステープリング • 証明書署名要求 (CSR) • オンライン証明書ステータス プロトコル (OCSP) と証明書失効リスト (CRL) • HTTP 厳密なトランスポート セキュリティ (HSTS)
3.6. ビジネス要件が与えられた場合、適切な暗号化プロトコルとアルゴリズムを実装します。
• ハッシュ • 対称アルゴリズム • 非対称アルゴリズム • プロトコル • 楕円曲線暗号化 • 前方秘匿性 • 関連データによる認証済み暗号化 • キー ストレッチング
3.7. シナリオが与えられた場合、暗号化実装に関する問題をトラブルシューティングします。
• 実装と構成の問題 • キー
4.1. 一連の要件に基づいて、適切なリスク戦略を適用します。
• リスク評価 • リスク処理手法 • リスクの種類 • リスク管理ライフサイクル • リスク追跡 • リスク選好度とリスク許容度 • ポリシーとセキュリティ プラクティス
4.2. ベンダー リスクの管理と軽減の重要性を説明します。
• 共有責任モデル (役割/責任) • ベンダー ロックインとベンダー ロックアウト • ベンダーの存続可能性 • クライアント要件の達成 • サポートの可用性 • 地理的な考慮事項 • サプライ チェーンの可視性 • インシデント報告要件 • ソース コード エスクロー • 継続的なベンダー評価ツール • サード パーティの依存関係 • 技術的な考慮事項
4.3. コンプライアンス フレームワークと法的考慮事項、およびそれらの組織への影響について説明します。
• 多様な業界を統合する際のセキュリティ上の懸念 • データに関する考慮事項 • コンプライアンスに関する第三者による証明 • 規制、認定、標準 • 法的考慮事項 • 契約および合意の種類 • 地理的考慮事項
4.4. 事業継続性と災害復旧の概念の重要性を説明します。
• ビジネス影響分析 • プライバシー影響評価 • 災害復旧計画 (DRP)/ 事業継続計画 (BCP) • インシデント対応計画 • テスト計画
著作権 © 2024 - 無断転載を禁じます。
