令和4年度秋期 システム監査技術者 午前Ⅱ 問19

マルウェア検出を考える一つの視点

選択肢を比べるときは、検出の仕組みを個別の名称や印象で判断せず、何を手がかりにして、どの段階で、どのような情報を評価しているかという一つの観点に整理して確認します。

この問題で問われていること

各選択肢について、検出時に利用する情報の性質と、それが観測されるタイミングに注目し、同じ基準で読み比べて説明の整合性を慎重に確かめることに集中しましょう。

視点

検出手法を学ぶ際は、名称を暗記するよりも、観測対象・判断の材料・評価される時点を同じ枠組みで整理すると、説明の違いを落ち着いて比較できます。

確認ポイント

• 何を観測して判断する説明かを確認する
• 判断材料が得られる時点を確認する
• 説明全体で観測対象と判断の流れが一貫しているか確認する

正解

エ

解説

ビヘイビア法は、マルウェア感染によって現れる読込み、書込み、通信などの動作を監視し、その振る舞いからマルウェアを検出する手法です。したがってエが該当する。

理由

ビヘイビア法は、検査対象のコードやハッシュ値そのものではなく、実行時に生じる動作や通信などの振る舞いを監視する。感染による特徴的な動作を検出するため、エの説明が該当する。

比較

アは特徴的なコードのパターンを照合するシグネチャ法、ウはハッシュ値を原本と比較する完全性検査に相当する。イもあらかじめ付加した情報との不整合を調べる方法であり、動作監視を説明していない。

選択肢ア

これは不正解だよ。特徴的なコードをパターンとして定義ファイルに登録し、検査対象と照合して同じパターンを探す方法は、既知のマルウェアを識別するシグネチャ法の説明である。実行時の読込みや通信などの動作を監視するビヘイビア法とは異なる。

選択肢イ

これは不正解だよ。検査対象にあらかじめ情報を付加し、検査時の不整合から異常を検出する説明は、対象の完全性や改変の有無を確認する考え方である。マルウェア感染による実際の動作を監視するビヘイビア法の説明ではない。

選択肢ウ

これは不正解だよ。疑わしい対象と安全な場所に保管した原本のハッシュ値を比較する方法は、ファイル内容の改変や完全性を確認する方法である。ハッシュ値の一致を調べるだけで、読込み、書込み、通信などの動作は監視していない。

選択肢エ（正解）

これは正解だよ。マルウェア感染によって生じるデータの読込みや書込み、外部との通信などを監視し、その振る舞いを手掛かりに検出する説明である。実行時の動作に着目するビヘイビア法に該当する。

学習のポイント

シグネチャ照合、完全性検査、ハッシュ比較、動作監視の違いを整理する。