実技形式問題（PBQ）の攻略法

パフォーマンスベース問題（PBQ）とは、4つの文章形式の選択肢から最適な答えを選ぶだけでなく、仮想環境で実践的なスキルを実演することが求められる、対話型のシミュレーション問題です。CompTIAがPBQを導入したのは、知識を持っていることと、それを実際に適用できることの間にある差を埋めるためです。たとえば、ファイアウォールルールを本当に理解している技術者なら、ルールの内容を説明するだけでなく、実際に設定できるはずです。PBQは選択式問題と同様にスコアに加算され、配点も同じです。SY0-701試験の冒頭に出題され、通常は選択式問題より多くの時間を消費します。

Security+試験には、いくつかの異なる形式のPBQがあります。ファイアウォールルールの設定 — ネットワーク図と要件が提示され、特定のトラフィックを許可または拒否するACLルールを追加します。ネットワーク図のラベリング — ネットワーク図上の正しい場所に、ファイアウォール、IDS、DMZなどのコンポーネントを配置します。ログ分析 — 提示されたログの抜粋（syslog、Windowsイベントログ、Webアクセスログ）を調べ、攻撃の種類を特定したり、具体的な質問に答えたりします。ドラッグ＆ドロップによる並べ替え — インシデント対応フェーズ、フォレンジックの手順、PKIコンポーネントなどを正しい順序に並べます。マッチング — 攻撃の種類と説明、またはツールとその機能を対応付けます。

重要な時間管理の戦略は、試験開始時にPBQで行き詰まらないことです。PBQは最初に提示され、不確かな場合は1問につき5～10分かかることがあります。推奨される方法は、各PBQにフラグを付けてすぐにスキップし、先にすべての選択式問題を解くことです。通常、選択式問題のほうが自信を持って答えやすく、解答することでPBQの細部を思い出せる場合もあります。すべての選択式問題を終えたら、PBQに戻ってください。最大90問を90分で解くため、1問平均1分で進めれば、PBQを見直すための十分な時間を残せます。

ファイアウォールPBQでは通常、複数のゾーン（インターネット、DMZ、内部LAN）を含むネットワーク図と、要件の一覧が提示されます。たとえば、「インターネットからDMZ内のWebサーバーへのHTTP／HTTPSを許可する。内部サーバーへのインターネットからの直接アクセスを拒否する。内部から外部へのDNSクエリを許可する」といった内容です。ルールは正しい順序で追加する必要があります（ファイアウォールルールは上から下へ処理され、最初に一致したルールが適用されます）。重要な知識は、すべてのルールセットの末尾にある暗黙の拒否、戻りのトラフィックを自動的に許可するステートフルインスペクション、一般的なポート番号（80=HTTP、443=HTTPS、22=SSH、25=SMTP、53=DNS、3389=RDP）です。送信元／宛先／ポート／アクションのルールテーブルを読み取る練習をしてください。

ログ分析PBQでは、さまざまなログソースから抜粋した情報が提示され、何が起きたのかを特定するよう求められます。Webサーバーログでは、SQLインジェクションのパターン（' OR '1'='1、UNION SELECT）、XSS（クエリ文字列内の<script>）、ディレクトリトラバーサル（../../../etc/passwd）を探します。Windowsイベントログでは、イベントID 4625はログイン失敗、4740はアカウントロックアウト、4624はログイン成功、4672は特殊な権限を示します。4625が複数回続いた後に4624が記録されている場合は、ブルートフォース攻撃が成功したことを示します。ネットワークキャプチャでは、SYNフラッド（SYNが多数送信されるがSYN-ACK応答がない）、ポートスキャン（1つのIPからポート番号が連続して送信される）、ICMPフラッドを探します。

ネットワーク図PBQでは、セキュリティゾーンアーキテクチャの理解が問われます。コンポーネントを正しく配置するための重要な概念は次のとおりです。DMZ（非武装地帯）は2台のファイアウォール（インターネット側と内部側）の間に位置し、一般公開するサーバー（Web、メール、DNS）を配置します。インターネット側のファイアウォールは境界に位置し、ISPリンクに直接接続されます。IDS／IPSセンサーはトラフィックを確認できるネットワークセグメントに配置します（IDSは受動的にミラーリングし、IPSはインラインで動作します）。プロキシサーバーは内部ユーザーとインターネットの間に配置します。SIEMはすべてのコンポーネントからログを収集します。内部データベースをDMZに配置しないでください。信頼された内部ゾーンに配置するものです。

ドラッグ＆ドロップPBQでは、順序のあるプロセスや概念の対応付けに関する知識が問われます。次の順序を確実に覚えてください。インシデント対応のフェーズ — 準備、検知と分析、封じ込め、根絶、復旧、インシデント後レビュー（NIST SP 800-61）。ペネトレーションテストのフェーズ — 偵察、スキャン／列挙、エクスプロイト、侵入後活動／ラテラルムーブメント、報告。フォレンジック証拠の揮発性の順序 — CPUレジスター／キャッシュ、RAM、スワップ／ページファイル、実行中のプロセス、ネットワーク接続、ディスクイメージ、リモートログ（最も揮発性の高いものから）。リスク管理の手順 — 特定、評価、対応／処置、監視。これらの順序はドラッグ＆ドロップ形式で頻繁に出題されます。

CompTIA Security+のPBQでは部分点が与えられます。PBQのすべての項目を完璧に完了しなくても、得点できます。つまり、ファイアウォール設定の一部に自信がなくても、分かる部分は正しく完了し、不確かな部分は空欄にせず推測してください。PBQを完全にスキップしたり、未回答のままにしたりしないでください。未完了のPBQは得点が少なくなるか、得点できませんが、一部が正しい解答には部分点が与えられます。5つのファイアウォールルールを設定するPBQで3つを正しく設定できた場合、その問題の配点のおよそ60%を得られます。

PBQの練習には、テキスト形式の学習では得られないハンズオンのシミュレーションが必要です。PBQ対策の教材には、次のようなものがあります。CompTIA CertMaster Practice — 現実的なPBQシミュレーションを備えた公式練習プラットフォーム。Jason Dion's Udemy course — 現実的なラボシミュレーションとPBQの解説を含みます。Professor Messer's PBQ practice labs — 手頃な価格のPDF形式の解説。Dion Training free PBQs — ファイアウォールやネットワーク図のPBQをブラウザー上でシミュレーションできる無料教材。ホームラボでの練習 — 無料のオープンソースファイアウォールであるpfSenseを使い、ルール設定を実際に練習します。PBQに対する最も効果的な準備は、インターフェースと問題形式に慣れるまで、練習用PBQを繰り返し解くことです。

不確かなPBQに遭遇した場合は、次のように対応してください。消去法を使う — シミュレーションでも、明らかに誤っている答えがあります。基本原則を適用する — 最小権限、Defense in Depth、暗黙の拒否は普遍的に適用でき、具体的なルールを知らない場合でも正しい答えを導く手がかりになります。シナリオを注意深く読む — PBQのシナリオには正解に必要な情報がすべて含まれており、シナリオの細部を見落とすことが最も一般的なPBQのミスです。考えすぎない — PBQで問われるのは実践的な知識であり、めったにない特殊なケースではありません。通常、正解はシナリオで説明されているセキュリティ原則を最も分かりやすく適用したものです。

90分で最大90問を解くため、時間配分が重要です。推奨される戦略は次のとおりです。1巡目（0～45分） — 自信を持って答えられる選択式問題をすべて解き、不確かな問題はスキップします。2巡目（45～70分） — フラグを付けた選択式問題に戻り、消去法を使います。3巡目（70～85分） — 残り時間でPBQにすべて取り組みます。最後の5分 — 未回答の問題がないことを確認します（CompTIAの試験では誤答によるペナルティがないため、必ずすべての問題に答えてください）。厳密な制限時間を設けた模擬試験を行うことで、本番中にペースを維持するために必要な時間感覚を養えます。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、次の内容を学びました。PBQでは、ファイアウォールルールの設定、ネットワーク図の分析、ログの解釈、順序のあるプロセスに関する知識など、実践的なスキルが問われます。PBQは最初に出題されますが、最初はスキップするべきです。PBQでは部分点が与えられるため、空欄のままにせず、残り時間で必ず取り組んでください。また、PBQシミュレーターを使った定期的な練習が最も効果的な準備です。シミュレーションのインターフェースに慣れることで、不安が軽減され、本番でのパフォーマンスが向上します。次は、Security+試験で特に頻繁に出題される重要トピックを確認します。