平成26年度秋期 ネットワークスペシャリスト 午前Ⅱ 問20

不正プログラムの検出材料を比べる視点

不正プログラムの検出材料を比較するときは、何を手掛かりにし、どの段階で利用し、変化への強さや見逃しの可能性をどう評価するかを整理しましょう。用語の印象だけでなく、観測対象と限界を同じ基準で見比べることが大切です。

この問題で問われていること

各候補について、検出の根拠がどの対象から得られ、どのような状況で有効性が変わり、未知の変化や誤判定にどんな注意が必要かという一点に絞って確認しましょう。

視点

検出材料は、観測する対象、得られる情報の性質、適用できる場面、変化した対象への追随性、誤って反応する可能性という観点で整理できます。個別の方式名を暗記するより、同じ観点を各候補へ順番に当てはめ、長所だけでなく限界も対照させると考えやすくなります。

確認ポイント

• 検出の根拠が、対象のどの特徴や情報に基づくものか確認する
• 通常時と変化が生じた場合で、有効性がどう変わり得るか考える
• 見逃しや誤判定につながる条件を、候補ごとに同じ基準で確認する

正解

エ

解説

ビヘイビア法は、検査対象プログラムを実際に動作させ、その挙動を観察してウイルスに特徴的な行動を検知する方法です。

理由

ビヘイビア法は、プログラムを動作させたときの挙動を監視し、ウイルスに特徴的な行動が現れた場合に検知する。実行時の振る舞いを判定材料にすることが要点です。

比較

アは特徴的なコード列を調べる方法、イは保証情報の有無や有効性を調べる方法、ウは原本とのハッシュ値を比較する方法であり、いずれも実行時の挙動を観察するビヘイビア法とは異なる。

選択肢ア

これは不正解だよ。ウイルスの特徴的なコード列がプログラム内に存在するかを調べる説明であり、既知のパターンとの照合を利用する検知方法に当たる。プログラムを動作させ、その行動を観察して判定するビヘイビア法の説明ではない。

選択肢イ

これは不正解だよ。ファイルに付加されたチェックサム値などの保証情報を確認し、情報がないか無効なら検知する説明である。ファイルの完全性や保証情報を確認する方法であり、検査対象プログラムの実行時の挙動を観察する方法ではない。

選択肢ウ

これは不正解だよ。検査対象ファイルと安全な場所に保管した原本のハッシュ値を比較し、値が異なる場合に検知する説明である。ハッシュ値による改変の確認であり、プログラムを動作させて行動を観察するビヘイビア法とは異なる。

選択肢エ（正解）

これは正解だよ。検査対象プログラムを実際に動作させ、その挙動を観察して、ウイルスによく見られる行動を起こした場合に検知する説明である。実行時の振る舞いを判定材料にする点がビヘイビア法の特徴である。

学習のポイント

シグネチャやハッシュ値ではなく、実行時の行動を観察する点を理解する。