情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問18

ビヘイビア検知【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文の各選択肢で「何を比較／どう検査しているか」を一つずつ短くまとめる。
2. 「実行して挙動を監視する」＝動的解析／ビヘイビア（実行時の振る舞いを見る）であると判断する。
3. 他の選択肢は「比較」や「ハッシュ」など静的な検査（実行しない）なのでビヘイビア法とは異なると切り分ける。
   この流れでエを選べばよいです。

選択肢別の誤答解説

• ア: 「あらかじめ検査対象に付加された…情報と算出した情報とを比較する」
  → これはファイルに付けられた証明（例：電子署名や付属のチェック値）を検証する方式です。ファイルの改ざん検知や配布元の確認に使われます。静的な検査の一種で、ビヘイビア法ではありません。電子署名（コード署名）は配布元の信頼性確認に有効ですが、実行時の悪意ある振る舞いは検出できない場合があります。
• イ: 「検査対象と安全な場所に保管してあるその原本とを比較する」
  → これはホワイトリスト的な整合性確認（既知の正しいファイルと比較）です。バックアップや整合性チェックツール（例：Tripwire）で使われます。やはり静的比較であり、実行して振る舞いを見るビヘイビア法ではありません。
• ウ: 「検査対象のハッシュ値と既知のウイルスファイルのハッシュ値とを比較する」
  → これはシグネチャ法の一例で、既知のウイルスの特徴（ここではハッシュ）と一致するかを調べます。既知マルウェアには有効ですが、ハッシュが異なる亜種や変形には無力です。これも静的検査です。

よくある誤解

• ビヘイビア検知は「必ず万能」と思い込む誤解
  → 未知攻撃に強い反面、誤検出（正常ソフトの挙動をマルウェアと誤認）や、サンドボックス回避技術（実行を遅延する、環境を検出して振る舞いを隠す）には弱点があります。
• ハッシュ比較＝シグネチャ検知と混同する誤解
  → ハッシュ比較は既知ファイルとの完全一致を調べる静的手法です。シグネチャ法はより広義で「ウイルスの特徴（バイト列、パターン）」を用いますが、どちらも動的なビヘイビア監視とは異なります。
• サンドボックスで実行すれば安全という誤解
  → サンドボックスは隔離環境での解析に有効ですが、設定ミスやサンドボックス検出手法を持つマルウェアに注意が必要です。運用ではサンドボックスのログ確認や他手法との併用が重要です。

補足コラム

• 検出アラートの監査担当を決める（誤検出対応の手順）
• サンドボックス実行時のネットワークやプライバシーへの配慮（テスト環境の隔離）
• シグネチャ法やホワイトリストと併用することで検出精度を上げる

FAQ