情報セキュリティマネジメント 2018年 春期 午前（科目A） 問16

ファイルハッシュ照合【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 「SHA-256が何をするか」を思い出す：入力データを固定長の要約に変換し、わずかな違いでも全く異なる値になる性質がある。
2. ハッシュ照合は「ハッシュが一致するかどうか」を判定する方式であると理解する。
3. 選択肢を照らし合わせる：
   • 完全に同一のファイルであればハッシュが一致 → 検出可能（ア）。
   • 部分一致やファイルサイズだけ同じ、あるいは亜種（改変あり）はハッシュが変わる → 検出不可（イ・ウ・エを除外）。
4. よって正しいのは ア。

選択肢別の誤答解説

• ア：正解。バイナリが完全一致すればSHA-256も一致するため検出できる。
• イ: 誤り。ワーム検体と「特徴あるコード列が同じ」でも、ファイル全体が少しでも変わればSHA-256は異なる。部分一致を検出するにはシグネチャの部分照合やヒューリスティックが必要。
• ウ: 誤り。ファイルサイズが同じでも中身が異なればハッシュは異なる。サイズだけでは同一性は保証されない。
• エ: 誤り。ワームの「亜種（改変されたもの）」はバイナリが変わるため、ハッシュが一致しない限り検出できない。亜種検知にはふわっとした類似度（fuzzy hashing）や挙動検知が必要。

よくある誤解

• ハッシュが同じなら「必ず同じファイル」と断言できる：現実には極めてまれなハッシュ衝突（異なる入力で同じハッシュになる事象）は理論上存在しますが、SHA-256では実用上無視できるほど稀です。とはいえ「絶対無欠」ではありません。
• ハッシュ検出は「変種も捕まえられる」：小さな改変でハッシュは大きく変わるため、亜種やパッキング（圧縮・難読化）には弱いです。
• ファイルサイズが同じ＝同一ファイル：これは誤りです。サイズは一次的な手がかりに過ぎません。

補足コラム

• ハッシュ照合は「既知の悪意あるファイルを白黒リスト化して照合する」典型的なシグネチャ検出です。実務ではこれを侵害兆候の高速な一次スクリーニングとして使いますが、検出が難しい変種や難読化には別の方法（動作解析、ふわふわハッシュ、YARAルール）を組み合わせます。
• ファイルの整合性確認（改ざん検知）にも同じ仕組みを使います。例えば社内サーバの重要ファイルのSHA-256を定期的に記録し、変化があれば調査する運用が考えられます。
• 実務での運用イメージ：アンチウイルスは既知の悪性ハッシュのデータベースを更新し、受信ファイルをハッシュ化して照合する。データベースは頻繁に更新し、さらに振る舞い検知も併用するのが標準運用です。

• Linuxコマンド：

sha256sum sample.exe

• Pythonでの例：

import hashlib

def sha256_of_file(path):
    h = hashlib.sha256()
    with open(path, 'rb') as f:
        for chunk in iter(lambda: f.read(8192), b''):
            h.update(chunk)
    return h.hexdigest()

print(sha256_of_file('sample.exe'))

FAQ