平成31年度春期 システム監査技術者 午前Ⅱ 問21

マルウェア検出手法を比べる視点

各選択肢の名称や印象だけで判断せず、検出の対象、観測する情報、判定のタイミング、未知の事象への向き合い方という観点をそろえて比較し、説明の前提と結果の関係を丁寧に確認しましょう。

この問題で問われていること

一つの観点として、検出がどの情報を根拠に行われるかに注目してください。入力となる情報の種類と、そこから導かれる判定の性質が選択肢の説明と整合しているかを確認します。

視点

検出手法を比較するときは、観測対象と判断材料を切り分け、いつ情報が得られるのか、どの程度の前提を置いているのかを整理します。用語の連想ではなく、説明同士の対応関係に注目してください。

確認ポイント

• 判定の根拠として扱われる情報の種類を確認する
• 観測される情報と判定結果の関係を整理する
• 説明に含まれる前提条件や適用範囲を確認する

正解

エ

解説

ビヘイビア法は、マルウェアの感染や発病に伴って生じる読込み、書込み、通信などの動作を監視して検出する方法です。したがって正答はエです。

理由

ビヘイビア法は、マルウェアそのもののコードやハッシュ値をあらかじめ照合するのではなく、感染や発病によって現れる実行時の動作を監視します。読込み、書込み、通信などの活動が検出の手掛かりになります。

比較

アは特徴的なコードのパターン照合、ウはハッシュ値の比較による静的な検出です。イも付加情報との整合性を確認する方法であり、実行時の挙動を監視するビヘイビア法の説明には該当しません。

選択肢ア

これは不正解だよ。特徴的なコードを登録したマルウェア定義ファイルと検査対象を比較し、一致するパターンで検出する方法は、コードの特徴を照合する静的なパターンマッチングであり、実行時の動作を監視するビヘイビア法ではない。

選択肢イ

これは不正解だよ。検査対象に感染していないことを保証する情報を付加し、検査時の不整合を確認する説明である。これは実行中の読込みや通信などの挙動を監視する方法ではないため、ビヘイビア法には当たらない。

選択肢ウ

これは不正解だよ。疑わしい検査対象のハッシュ値を安全な場所の原本と比較する方法は、ファイル内容の変化や改変を静的に確認する手法である。マルウェアの感染や発病による実行時の動作を監視してはいない。

選択肢エ（正解）

これは正解だよ。マルウェアの感染や発病によって生じるデータの読込み、書込み、通信などの動作を監視して検出している。実行時に現れる特徴的な挙動を検出の根拠とするため、ビヘイビア法の説明に一致する。

学習のポイント

静的なパターン照合と、実行時の挙動監視を区別して覚えましょう。