基本情報技術者 2012年 秋期 午前（科目A） 問43

ウイルスの調査手法に関する記述【午前2 解説】

要点まとめ

• 結論→ 逆アセンブルはバイナリの動作解析に有効で、新種や難読化された実行コードの解析に適する手法です。
• 根拠→ 逆アセンブルは機械語を人間が読める命令列に変換して振る舞いを追跡できるため、動作やフローを明示的に把握できます。
• 差がつくポイント→ 署名検出・ハッシュ・振る舞い検知は用途が異なり、検出と同定（名前付け）や未知亜種の識別で性能差が出ます。

正解の理由

よくある誤解

• ハッシュ値で同定できると考える誤解：ハッシュはファイルが完全一致するかだけを示し、変種やバイナリの一部変更には無力です。
• 署名検出が暗号化されたマクロに強いと誤認する点：暗号化や難読化されると既知署名は無効化され、展開／復号してからの解析が必要になります。
• 振る舞い検知でウイルス名まで確定できると思う誤解：振る舞い検知は「不審な動作」を検出するが、特定のウイルス名の同定は追加の解析（静的解析や特徴比較）が必要です。

解法ステップ

1. 各選択肢のキーワードを確認：「逆アセンブル」「パターンマッチング」「ハッシュ値」「不正な動作」など。
2. 手法の目的を区別：静的解析（逆アセンブル、ハッシュ、署名）／動的解析（振る舞い検知）／比較識別（署名、ハッシュ）。
3. 「新種」「動作を解明する」「特定する」「検知する」などの表現の違いに注意し、手法がその表現に適合するかを判断する。
4. 最終的に、実行コードの動作を直接追うには逆アセンブルが最も適切と判断する。

選択肢別の誤答解説

補足コラム

• 逆アセンブルは静的解析の一つで、IDA Pro、Ghidra、radare2 などのツールが用いられます。これらは命令列や関数境界、呼び出し先解析を支援します。
• 動的解析（サンドボックス実行）は実行時の振る舞いを観察でき、難読化や自己解凍型の検体に有効ですが、検体が環境判定でサンドボックス回避することもあります。
• 検出技術は目的別に使い分けるのが重要です：署名は高速な既知検出、ハッシュは完全一致チェック、振る舞いは未知検出、逆アセンブルは深い理解と特定に有効です。

FAQ