平成25年度春期 情報処理安全確保支援士 午前Ⅱ 問13

ウイルスの「行動のクセ」を見て見つける方式だよ

この方式は、ウイルスの名前札や指紋のようなパターンを照合するのではなく、感染した後の怪しい動きを見て検出するんだ。たとえば、急に大量の通信を始めたり、普段しないような書込みをたくさん行ったりしたら、『この端末、いつもと様子が違うぞ』と気づくイメージだよ。

この問題で問われていること

ポイントは、既知のウイルスの特徴データと比べるシグネチャ方式ではなく、実際の動作を観察する振る舞い監視方式だと見分けることだよ。

Behavior Detection

behavior-based detection monitors suspicious changes such as abnormal writes or communication spikes caused by malware activity

monitor abnormal behavior\nwatch write activity\nwatch communication spikes

確認ポイント

• パターンマッチングではありません。
• 感染後の挙動を見る。
• 異常な振る舞いを手掛かりにする。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。泥棒の顔写真リストと照合して「この顔、登録済みの泥棒だ」と見つけるような方法で、パターンマッチング法の説明なんだ。ビヘイビア法は、顔写真ではなく「窓をこじ開けようとしている」みたいな行動を見て判断するよ。

選択肢イ

これは不正解だよ。封筒に未開封シールを貼っておき、あとでシールが破れていたら「誰か触ったな」と分かるような方法で、チェックサム法やインテグリティチェック法の説明なんだ。ビヘイビア法は、シールの破損ではなく、実際の怪しい行動を見張る方法だよ。

選択肢ウ

これは不正解だよ。安全な場所に置いてある“本物の書類”と、今ある書類を見比べて「字が違うぞ」と気づく方法で、コンペア法の説明なんだ。ビヘイビア法は、見た目の違いよりも“怪しい動き”を見張る方法だよ。

選択肢エ（正解）

これは正解だよ。ビヘイビア法は、プログラムの“ふるまい”を見張る方法なんだ。たとえば、普段おとなしい人が急に大量の荷物を外へ運び出したら怪しいよね。同じように、急な書込みや通信量の増加など、ウイルスっぽい動きを監視して感染を見つけるよ。