情報セキュリティマネジメント 2018年 春期 午前（科目A） 問23
問題文
マルウェアの動的解析に該当するものはどれか。
選択肢
ア：解析対象となる検体のハッシュ値を計算し、オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。
イ：サンドボックス上で検体を実行し、その動作や外部との通信を観測する。（正解）
ウ：ネットワーク上の通信データから検体を抽出し、さらに、逆コンパイルして取得したコードから検体の機能を調べる。
エ：ハードディスク内のファイルの拡張子とファイルヘッダの内容を基に、拡張子が偽装された不正なプログラムファイルを検出する。
🔒 解説は解答すると表示されます
マルウェア動的解析【情報セキュリティマネジメント解説】
正解の理由
選択肢イは「サンドボックス上で検体を実行し、その動作や外部との通信を観測する」とあります。これはマルウェアを実際に起動して挙動を観察する手法で、実行して得られる動作情報（ファイルの生成、レジストリ操作、外部サーバーとの通信など）を確認する点で「動的解析」に該当します。
「動的解析」はプログラムを実行して振る舞いを見る方法であり、静的にコードやファイルを解析する方法（実行しないで調べる手法）とは区別されます。したがって動作を観測する選択肢であるイが正解です。
「動的解析」はプログラムを実行して振る舞いを見る方法であり、静的にコードやファイルを解析する方法（実行しないで調べる手法）とは区別されます。したがって動作を観測する選択肢であるイが正解です。
（用語補足）
- サンドボックス（sandbox）：解析用に隔離した実行環境。外部への影響を防ぎ、マルウェアの挙動を記録するために使います。
- 動的解析：実際にプログラムを動かして挙動を調べる解析手法。
解法ステップ
- 問題のキーワード「動的解析」を「実行して観察する」かどうかで判定する。
- 各選択肢を「実行するか（動的）」「実行しないか（静的）」で振り分ける。
- 実行して挙動や通信を観測するものが動的解析に一致するため、サンドボックス実行の選択肢を選ぶ。
短く言えば、「実行して観察＝動的、実行せずに解析＝静的」と覚えると速く解けます。
選択肢別の誤答解説
- ア: ハッシュ値を計算して既知マルウェアと照合する手法です。ハッシュ（ファイルごとの識別値）を使った照合はファイルを実行せずに識別するため、静的・シグネチャベースの検知に該当します。したがって動的解析ではありません。
- イ: サンドボックス（隔離環境）で実際に検体を実行して動作や通信を観測します。実行して得られる情報を使うため、典型的な動的解析です。
- ウ: 「ネットワーク上の通信データから検体を抽出」する部分は通信の観測という意味で動的な側面がありますが、その後「逆コンパイルして取得したコードから機能を調べる」は実行せずコードを解析する静的解析（逆コンパイル＝機械語を人が読める形に戻す処理）です。選択肢全体が動的解析のみを指しているわけではなく、混合または静的寄りなので動的解析に該当とは言い切れません。
- エ: ファイルの拡張子とファイルヘッダ（ファイル先頭にある形式情報）を照合する方法は、ファイルの中身を実行せずに検査する手法であり静的解析です。拡張子偽装の検出などに使う手法で、動的解析ではありません。
よくある誤解
- 「ネットワークの観測＝動的解析」と単純に考える誤り。通信の観測は動的解析で使われることが多い一方、通信ログから抽出したバイナリを逆コンパイルして解析する行為は静的解析に当たるため、両者は区別されます。
- 「ハッシュ照合で全部わかる」と思う誤り。既知のマルウェアなら検出できても、亜種やファイルを書き換えたものには無力です。動的解析でなければ新しい振る舞いは見えません。
補足コラム
職場での運用イメージ：検体（疑わしいファイル）を受け取ったら、まずはハッシュ確認やアンチウイルスで既知か確認（静的）。既知でなければ、分析担当者が専用のサンドボックス環境（ネットワークは隔離または疑似インターネット）で実行して振る舞いを収集します。重要なのは「隔離」と「ログ取得」。誤って本番ネットワークにつなぐと被害拡大のリスクがあるため、専用ネットワークやダミーのC2（Command and Control：遠隔操作用の制御サーバ）環境を用意します。
運用上は、自社で解析環境を保持するか、外部解析サービスに委託するかを規程で決め、検体取り扱いの責任者を明確にしておくことが現実的です。
運用上は、自社で解析環境を保持するか、外部解析サービスに委託するかを規程で決め、検体取り扱いの責任者を明確にしておくことが現実的です。
FAQ
Q1. 動的解析は危険ですか？
A1. はい。マルウェアを実行するため危険です。必ず隔離されたサンドボックスや仮想環境で実施し、ネットワークも制限します。
A1. はい。マルウェアを実行するため危険です。必ず隔離されたサンドボックスや仮想環境で実施し、ネットワークも制限します。
Q2. どちらが先に行うべきですか、静的解析と動的解析？
A2. 通常は静的解析（ハッシュ照合、ファイルヘッダ確認、アンチウイルススキャン）で既知か確認し、それでも不明なら動的解析で実行して挙動を調べます。両方を組み合わせるのが最も有効です。
A2. 通常は静的解析（ハッシュ照合、ファイルヘッダ確認、アンチウイルススキャン）で既知か確認し、それでも不明なら動的解析で実行して挙動を調べます。両方を組み合わせるのが最も有効です。
Q3. サンドボックスで動作しないマルウェアは？
A3. マルウェアは「サンドボックス回避」技術を持つことがあります（実行環境が解析用かどうかを判定して動作を止める）。その場合はより詳細な解析や別の環境での確認が必要です。
A3. マルウェアは「サンドボックス回避」技術を持つことがあります（実行環境が解析用かどうかを判定して動作を止める）。その場合はより詳細な解析や別の環境での確認が必要です。
関連キーワード: マルウェア動的解析、サンドボックス、静的解析、ハッシュ値、逆コンパイル、ファイルヘッダ、サンドボックス回避、行動ベース検知
\ せっかくなら /
情報セキュリティマネジメントを
クイズ形式で学習しませんか？
クイズ画面へ遷移する→
すぐに利用可能！