要塞ホストは、攻撃に耐え、内部リソースへの安全なアクセスを提供するように設計された特別な目的のサーバーです。通常、要塞ホストはネットワークのエッジに配置され、内部ネットワークへのゲートウェイまたはプロキシとして機能します。要塞ホストは、SSH や HTTP などの特定の種類のトラフィックのみを許可し、他のすべてのトラフィックをブロックするように構成できます。要塞ホストは、ファイアウォール、侵入検知システム、ウイルス対策プログラムなどのセキュリティ ソフトウェアを実行して、送受信トラフィックを監視およびフィルタリングすることもできます。要塞ホストは、強力な認証と暗号化を要求し、監査目的ですべてのアクティビティを記録することにより、内部リソースへの管理アクセスを提供できます12。
踏み台ホストは、セキュリティ境界を通過できるトラフィックを最小限に抑え、単一の制御点と防御点を提供するため、指定されたオプションの中で最も安全な方法です。また、要塞ホストは、内部ネットワークをインターネットや他の信頼できないネットワークに直接さらさないように隔離することもでき、攻撃対象領域と侵害のリスクを軽減します3。
境界ネットワークは内部ネットワークを外部ネットワークから分離するネットワーク セグメントであるため、境界ネットワークの展開は正しい答えではありません。境界ネットワークは通常、インターネットからアクセスできる必要がある Web サーバー、電子メール サーバー、DNS サーバーなどの公開サービスをホストします。境界ネットワークは内部リソースへの管理アクセスを提供するのではなく、内部リソースを不正アクセスから保護します。境界ネットワークは、ネットワーク管理とセキュリティの複雑さとコストを増大させる可能性もあります4。
WAF は、HTTP トラフィックを監視、フィルタリング、ブロックすることで一般的な Web ベースの攻撃から Web アプリケーションを保護するセキュリティ ツールであるため、WAF をインストールすることは正しい答えではありません。WAF は、クロスサイト スクリプティング、SQL インジェクション、ファイル インクルードなどの攻撃を防止できます。WAF は内部リソースへの管理アクセスを提供するのではなく、Web アプリケーションの脆弱性から内部リソースを保護します。また、AWAF はアプリケーション層でのみ動作し、他の種類の攻撃や脅威からは保護されないため、ネットワーク セキュリティの包括的なソリューションではありません5。
シングル サインオンは、ユーザーが 1 つのユーザー名とパスワードを使用して複数のサイト、サービス、またはアプリケーションにアクセスできるようにする認証方法であるため、シングル サインオンを使用することは正しい答えではありません。シングル サインオンにより、ユーザーのサインイン プロセスが簡素化され、覚えて管理する必要があるパスワードの数を減らすことができます。シングル サインオンでは、内部リソースへの管理アクセスは提供されませんが、ユーザーが使用を許可されているさまざまなリソースへのアクセスが可能になります。また、シングル サインオンは、ユーザーの資格情報が危険にさらされた場合、またはシングル サインオン プロバイダーが侵害された場合にセキュリティ リスクを引き起こす可能性があります6。参照 = 1: 要塞ホスト
- Wikipedia、2: SSH Bastion ホストを保護するための 14 のベスト プラクティス - goteleport.com、3: ネットワーク セキュリティにおける Bastion ホストの重要性、4: ネットワーク境界とは何ですか? | Cloudflare、5: WAF とは何ですか? | Web アプリケーション ファイアウォールを解説、6:【シングル サインオン (SSO) とは何ですか? - WhatIs.com からの定義]

説明
マスキングは、元の数字の一部を表示したままにして、数字の一部またはすべてをアスタリスク、ダッシュ、X などの記号に置き換えてクレジット カード データを保護する方法です。マスキングは、クレジット カードの最後の 4 つの番号のみを表示する必要がある場合に使用するのが最適です。これは、カード所有者の識別と検証を可能にしながら、完全なカード番号への不正アクセスを防ぐことができるためです。アルゴリズムを使用してデータをさまざまな形式に変換する暗号化、ハッシュ、またはトークン化とは異なり、マスキングは元のデータを変更しません。
参考資料: CompTIA Security+ スタディ ガイド: 試験 SY0-701、第 9 版、第 2 章: コンプライアンスと運用セキュリティ、ページ 721。 CompTIA Security+ 認定キット: 試験 SY0-701、第 7 版、第 2 章:
コンプライアンスと運用上のセキュリティ、722 ページ。

説明
高可用性ネットワークは、ダウンタイムを最小限に抑え、障害や中断が発生した場合でも継続的な運用を保証するように設計されたネットワークです。高可用性ネットワークでは、次の要素を考慮する必要があります12。
回復の容易さ: これは、障害または中断の後に通常の機能を迅速かつ効率的に復元するネットワークの能力を指します。バックアップと復元の手順、冗長性とフェイルオーバーのメカニズム、フォールト トレランスと復元力、災害復旧計画を実装することで、復元を容易にできます。
攻撃対象領域: これは、潜在的な脅威や攻撃に対するネットワークの露出量と脆弱性を指します。ファイアウォール、暗号化、認証、アクセス制御、セグメンテーション、強化などのセキュリティ制御を実装することで、攻撃対象領域を減らすことができます。
他のオプションは、高可用性ネットワーク設計に直接関係しません。
パッチ適用機能: これは、セキュリティ問題、バグ、またはパフォーマンスの向上に対処するために、ソフトウェア コンポーネントを更新および修正するプロセスを指します。パッチを適用できることは、ネットワークのセキュリティと機能を維持するために重要ですが、高可用性ネットワーク設計にとって特定の要素ではありません。
物理的分離: これは、ネットワーク コンポーネントまたはデバイスを他のネットワークまたは物理環境から分離することを指します。物理的に分離すると、ネットワークのセキュリティとパフォーマンスが向上しますが、ネットワーク リソースの可用性とアクセス性も低下する可能性があります。
応答性: これは、ネットワークのパフォーマンスとサービス提供の速度と品質を指します。
応答性は、遅延、スループット、ジッター、パケット損失などの指標によって測定できます。
応答性は顧客満足度とユーザー エクスペリエンスを確保するために重要ですが、高可用性ネットワーク設計の特定の要素ではありません。
拡張可能な認証: これは、複数の柔軟な認証方法とプロトコルをサポートするネットワークの機能を指します。拡張認証はネットワークのセキュリティと利便性を向上させることができますが、これは高可用性ネットワーク設計の特定の要素ではありません。
参考文献 = 1: CompTIA Security+ SY0-701 認定学習ガイド、972 ページ: 高可用性 - CompTIA Security+ SY0-701 - 3.4、メッサー教授によるビデオ。

偽造ハードウェアとは、相手先商標製造装置 (OEM) の許可なしに構築または変更されたハードウェアです。これは、ネットワークの品質、パフォーマンス、安全性、信頼性に重​​大なリスクをもたらす可能性があります12。偽造ハードウェアには、ネットワークとネットワークを流れるデータのセキュリティを侵害する可能性のある悪意のあるコンポーネントが含まれている場合もあります3。偽造ハードウェアの調達に関連するリスクに対処するために、企業は、ハードウェアの製造、流通、配送に関与するエンティティのネットワークであるサプライ チェーンの徹底的な分析を実施する必要があります。サプライ チェーンを分析することで、同社はハードウェアの出所、信頼性、完全性を検証し、偽造品や改ざんされた製品の潜在的な発生源を特定できます。サプライ チェーンの徹底的な分析には、次の手順が含まれます。
OEM および認定再販業者との信頼関係の確立 OEM または認定再販業者にハードウェアの文書と認証を要求する ラベル、シリアル番号、コンポーネントの不一致など、改ざんの兆候がないかハードウェアを検査する ハードウェアの機能、パフォーマンス、とセキュリティ ハードウェアをライフサイクル全体にわたって監視するための追跡システムの導入 疑わしいハードウェアまたは偽造ハードウェアを OEM および法執行機関に報告する 参考資料 = 1: 偽造品および海賊版製品の特定 - Cisco、2: ハードウェア セキュリティとは何ですか? 定義、脅威、およびベスト プラクティス、3: 偽造ネットワーク機器に注意してください - TechNewsWorld、: 偽造ハードウェア: 脅威とその回避方法

説明
高可用性ネットワークは、ダウンタイムを最小限に抑え、障害や中断が発生した場合でも継続的な運用を保証するように設計されたネットワークです。高可用性ネットワークでは、次の要素を考慮する必要があります12。
* 回復の容易さ: これは、障害または中断の後に通常の機能を迅速かつ効率的に回復するネットワークの能力を指します。バックアップと復元の手順、冗長性とフェイルオーバーのメカニズム、フォールト トレランスと復元力、災害復旧計画を実装することで、復元を容易にできます。
* 攻撃対象領域: 潜在的な脅威や攻撃に対するネットワークの露出量と脆弱性を指します。ファイアウォール、暗号化、認証、アクセス制御、セグメンテーション、強化などのセキュリティ制御を実装することで、攻撃対象領域を減らすことができます。
他のオプションは、高可用性ネットワーク設計に直接関係しません。
* パッチ適用機能: これは、セキュリティ問題、バグ、またはパフォーマンスの向上に対処するために、ソフトウェア コンポーネントを更新および修正するプロセスを指します。パッチを適用できることは、ネットワークのセキュリティと機能を維持するために重要ですが、高可用性ネットワーク設計にとって特定の要素ではありません。
* 物理的分離: ネットワーク コンポーネントまたはデバイスを他のネットワークまたは物理環境から分離することを指します。物理的に分離すると、ネットワークのセキュリティとパフォーマンスが向上します。
* ただし、ネットワーク リソースの可用性とアクセス性が低下する可能性もあります。
* 応答性: これは、ネットワークのパフォーマンスとサービス提供の速度と品質を指します。
応答性は、遅延、スループット、ジッター、パケット損失などの指標によって測定できます。
応答性は顧客満足度とユーザー エクスペリエンスを確保するために重要ですが、高可用性ネットワーク設計の特定の要素ではありません。
* 拡張可能な認証: 複数の柔軟な認証方法とプロトコルをサポートするネットワークの機能を指します。拡張認証はネットワークのセキュリティと利便性を向上させることができますが、これは高可用性ネットワーク設計の特定の要素ではありません。
参考文献 = 1: CompTIA Security+ SY0-701 認定学習ガイド、972 ページ: 高可用性 - CompTIA Security+ SY0-701 - 3.4、メッサー教授によるビデオ。