平成21年度秋期 情報処理安全確保支援士 午前Ⅱ 問8

ウイルスの指名手配写真を見るのではなく、「怪しい動き」で見つける（ビヘイビア法）

ウイルスを検出する「ビヘイビア法（振る舞い検知）」の問題だよ。従来のやり方（パターンマッチング法）は「指名手配リスト」と照合するけれど、新種のウイルスには通用しないんだ。そこで、ビヘイビア法は「勝手に重要なファイルを書き換えようとした」「急に大量のメールを勝手に送り始めた」などの「実際の悪い動き」を検知して感染を疑うやり方だよ。

この問題で問われていること

事前に定義されたパターン（シグネチャ）の照合ではなく、「プログラムが動いた時の不審な挙動」を監視してウイルスを見つけ出すアプローチを選ぼう。

ビヘイビア法の特徴

未知ウイルスでも、ファイルの大量改変や異常通信などの挙動があれば検知できるのがビヘイビア法の強みです。

監視対象: 書込み異常 / 通信異常\n特徴コード一致は不要\n-> 振る舞いで検知

確認ポイント

• 特徴コード照合はパターンマッチング法です。
• 原本比較は完全性検査の説明に近いです。
• 「動作の異常」を捉える選択肢が正解です。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。ウイルス定義ファイルに登録された特徴的なコードと照合するのは、指名手配写真と顔を見比べるような方法で、パターンマッチング法だよ。怪しい動きを見るビヘイビア法ではないよ。

選択肢イ

これは不正解だよ。あらかじめ『このファイルは正常だよ』という印を付けておき、後で印が合うか確認するのは、封筒の封印が破れていないか見るような方法だよ。これはチェックサム法やインテグリティチェックの考え方で、動作を監視するビヘイビア法ではないよ。

選択肢ウ

これは不正解だよ。安全な場所に置いてある原本と今のファイルを比べるのは、昔の写真と今の姿を見比べて『変わってる！』と気づく方法で、コンペア法だよ。動きを監視するビヘイビア法とは違うんだ。

選択肢エ（正解）

これは正解だよ。ビヘイビア法は、犯人の顔写真ではなく『怪しい動き』を見る方法なんだ。たとえば店員さんが、泥棒リストに載っていない人でも、商品を隠す・出口へ急ぐみたいな行動を見て気づく感じ。データの異常な書込みや通信量の急増を監視しているので、ビヘイビア法の説明として合っているよ。