令和5年度春期 ネットワークスペシャリスト 午前Ⅱ 問16

定義の核となる性質を見極める

マルウェアに関する用語は、名称だけで覚えると似た言葉どうしを取り違えやすくなります。各用語について、何をもってその名前で呼ばれるのかという定義の核を一つ押さえ、問われている内容がその核に当たるかを落ち着いて照らし合わせましょう。

この問題で問われていること

マルウェアの説明では、一つのプログラムについて複数の性質が並べて語られることが多くあります。その中で、どの性質がその呼び名を与える決め手であり、どれが付随的に見られるだけの性質なのかを区別できるかが問われます。

視点

マルウェアの分類名は、それぞれ異なる着眼点から名付けられています。そのため、同じプログラムが複数の名称に当てはまることもあります。名称ごとに『これが無ければその名前では呼ばない』という条件を自分の言葉で言えるか確かめましょう。そのうえで問われている内容と対応させると、混同を避けやすくなります。

確認ポイント

• 各名称について、それが無ければその名で呼ばれない性質を一つ言えるか
• 問われている内容が、その名称の決め手と付随的な性質のどちらを指しているか
• 似た名称どうしで、決め手となる着眼点が同じか異なるかを意識できているか

正解

イ

解説

ポリモーフィック型マルウェアは、感染のたびに自身のコード表現を変化させ、過去に発見されたマルウェアのパターンによる検知を回避しようとする。

理由

ポリモーフィック型マルウェアは、感染ごとに暗号化鍵を変えるなどして自身のコードを変化させます。その結果、過去に登録された特徴やパターンとの一致を避け、パターンマッチングによる検知を困難にします。

比較

遠隔操作はボットなど、複数OSで動作することはマルチプラットフォーム対応の説明です。ルートキットによる隠蔽は、存在や活動を見えにくくする技術であり、コードを変化させて検知を回避する性質とは異なります。

選択肢ア

これは不正解だよ。インターネットを介して攻撃者から遠隔操作されるのは、ボットや遠隔操作型マルウェアなどの性質を説明したものです。感染のたびにコードの特徴を変えて既知パターン検知を逃れる性質とは異なります。

選択肢イ（正解）

これは正解だよ。ポリモーフィック型マルウェアは、感染ごとに暗号化鍵を変えるなどして自身のコード表現を変化させ、過去に登録されたパターンとの一致を避けます。動作の目的ではなく、検知回避のための変形が要点です。

選択肢ウ

これは不正解だよ。複数のOS上で利用できるプログラム言語で作成され、複数のOS上で動作することは、マルチプラットフォーム対応を示す説明です。感染ごとにコードを変化させ、既知パターン検知を回避する特徴とは関係が異なります。

選択肢エ

これは不正解だよ。ルートキットを利用して自身を隠蔽し、マルウェア感染が起きていないように見せかけるのは、存在や活動を隠すステルス性の説明です。コードを感染ごとに変化させて、過去のパターンによる検知を避ける性質ではありません。

学習のポイント

ポリモーフィック型はコード変形によるパターン検知回避が要点です。