平成28年度春期 システム監査技術者 午前Ⅱ 問20

検出手法を比べる視点

手法名や個別の仕組みを暗記するのではなく、何を観測し、どの段階で、どのような根拠から判定につなげるのかという比較軸をそろえて考えます。

この問題で問われていること

各選択肢について、検出の根拠と判定までの流れが、設問で示された対象や目的に適合しているかを一つの観点として確認してください。

視点

検討するときは、観測対象、得られる情報の性質、判定に至るまでの前提を同じ粒度で読み取り、名称の印象ではなく、説明された根拠が目的に対応しているかを整理します。

確認ポイント

• 観測している対象と、判定の根拠が対応しているか
• 検出結果を利用する目的と、想定する場面が一致しているか
• 説明の前提や条件を勝手に補わず、書かれた範囲で比較できているか

正解

エ

解説

ビヘイビア法は、ウイルス感染や発病に伴って現れる異常な動作や通信などの変化を監視し、その挙動から感染を検出する方法です。

理由

ビヘイビア法は、ウイルスの特徴的なコードそのものを照合するのではなく、感染や発病によって生じる異常なデータ書込み動作、通信量の増加などを監視して検出する。したがって、該当するのはエです。

比較

アはウイルス定義ファイルとのパターン照合、イは検査対象に付加した情報による完全性確認、ウは安全な原本との比較を説明している。いずれも実行時の挙動を監視するビヘイビア法とは異なる。

選択肢ア

これは不正解だよ。あらかじめ登録した特徴的なコードをウイルス定義ファイルと照合し、一致によって検出する方法は、既知のパターンを利用する方式である。感染後に現れる動作や通信の変化を監視するビヘイビア法の説明ではない。

選択肢イ

これは不正解だよ。検査対象に感染していないことを保証する情報を付加し、検査時の不整合を確認する説明は、対象の完全性を検証する考え方である。ウイルス感染による実行時の挙動変化を監視する方法とは異なる。

選択肢ウ

これは不正解だよ。安全な場所に保管された原本と検査対象を比較し、相違を検出する説明は、正常な状態との差分を確認する方法である。感染や発病によるデータ書込み動作や通信量の変化を監視する説明ではない。

選択肢エ（正解）

これは正解だよ。ウイルスの感染や発病に伴うデータ書込み動作の異常、通信量の異常増加など、実行時に現れる変化を監視して感染を検出する説明であり、ビヘイビア法に該当する。

学習のポイント

シグネチャ照合と、実行時の挙動監視を区別して覚える。