令和6年度春期 ネットワークスペシャリスト 午前Ⅱ 問20

比較対象と条件をそろえる視点

ネットワーク分野の択一問題では、対象・比較する条件・観察する結果を分けて整理すると、各選択肢が何を前提にしているかを落ち着いて確認できます。用語の印象だけで判断せず、同じ比較軸に並べることが大切です。

この問題で問われていること

一つの比較軸に注目し、誰と誰を比べているのか、どの条件が固定または変化しているのか、設問が求める観察結果は何かを対応づけてください。条件と結果の関係を、選択肢ごとに同じ枠組みで読み取ることがポイントです。

視点

対象そのものと、対象に与えられた条件、そこから観察される結果を混同しないことが重要です。まず比較の単位をそろえ、次に条件の違いを言葉で整理し、最後に設問の要求と照らして考えます。

確認ポイント

• 比較されている対象を、同じ単位で言い換えられるか確認する。
• 比較条件のうち、固定されているものと変化しているものを区別する。
• 設問が尋ねている観察結果を、前提条件と混ぜずに書き出す。

正解

エ

解説

ビヘイビア法は、マルウェア感染によって発生する読込み、書込み、通信などの動作を監視し、その挙動からマルウェアを検出する手法です。

理由

ビヘイビア法では、マルウェアが活動した結果として現れるデータの読込み、書込み、外部との通信などを監視する。あらかじめ決めたコードの一致ではなく、実行時の不審な挙動を検出の手掛かりにする。

比較

特徴的なコードを定義ファイルと照合する方法はパターンマッチングによる検出であり、ハッシュ値を原本と比較する方法は改変の有無を確認する完全性検査です。ビヘイビア法は、これらとは異なり動作そのものを対象とする。

選択肢ア

これは不正解だよ。特徴的なコードをパターンとして登録した定義ファイルと検査対象を照合し、一致によって検出する方法は、既知のマルウェアの特徴を利用するパターンマッチング方式である。実行中の読込みや通信などの動作を監視するビヘイビア法の説明ではない。

選択肢イ

これは不正解だよ。検査対象に感染していないことを保証する情報を付加し、検査時の不整合を調べる方法は、対象の完全性や改変の有無を確認する考え方である。感染によって生じる動作を監視して検出するビヘイビア法とは異なる。

選択肢ウ

これは不正解だよ。検査対象のハッシュ値を安全な場所に保管した原本のハッシュ値と比較する方法は、ファイルなどが改変されていないかを確認する完全性検査である。ハッシュ値の一致や不一致を調べるだけで、実行時の挙動を監視する説明ではない。

選択肢エ（正解）

これは正解だよ。ビヘイビア法は、マルウェアへの感染によって生じるデータの読込み、書込み、通信などの動作を監視し、その不審な挙動からマルウェアを検出する手法である。実行時の活動を対象にしている点が適切である。

学習のポイント

シグネチャ法や完全性検査と、実行時の挙動を監視するビヘイビア法を区別する。