情報セキュリティマネジメント 2019年 秋期 午前（科目A） 問22

動的解析【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文で「動的（runtime）」に当たる表現を探す：実行、観測、外部通信の監視 など。
2. 選択肢ごとに「実行して観るか」「実行せず解析するか」を振り分ける。
3. 実行して観察する記述がある選択肢を正解候補とする。逆に、ハッシュ照合・逆コンパイル・ファイルヘッダ検査などは静的解析に分類する。
4. 混合的な記述（動的な要素と静的な要素が混ざる場合）は、問題が「動的解析に該当するものはどれか」と問うているため、「純粋に動的解析を示すもの」を優先する。

選択肢別の誤答解説

• ア: ハッシュ値を計算して既知の一覧と照合する方法は、ファイルの内容を実行せずに識別する手法です。ハッシュ（データの一意の短い値）照合は静的検出であり、動作観察を伴わないため動的解析ではありません。既知の亜種に弱い点もあります。
• イ: サンドボックスで実行して挙動や外部通信を観測する、典型的な動的解析です。実行時にしか現れない振る舞い（例：C2サーバ（Command and Control：遠隔操作サーバ）への接続、ファイル暗号化など）を検出できます。
• ウ: 「ネットワーク上の通信データから抽出」は動的なデータ取得（通信の観測）に近いですが、その後「逆コンパイルして取得したコードから機能を調べる」は実行せずコードを解析する静的手法です。したがってウは動的解析のみを指すものではなく、混合的（動的要素＋静的要素）です。問題は「動的解析に該当するもの」を問うため、純粋な動的手法であるイがより適切です。
• エ: 拡張子とファイルヘッダの照合はファイルを実行せずに形式を調べる静的検査です。拡張子偽装の検出には有効ですが、動作観察には当たりません。

よくある誤解

• 「ネットワーク解析＝動的解析」と単純に考える誤解：ネットワーク通信の観測は動的解析の一部になり得ますが、選択肢全体の文脈（逆コンパイルなど）を見て「純粋な動的解析かどうか」を判断する必要があります。
• 「ハッシュ照合は動的解析だ」と思い込む誤解：ハッシュ照合は実行を伴わない静的手法で、新種や亜種の検出が困難です。
• サンドボックスですべての挙動が現れると思う誤解：高度なマルウェアはサンドボックス回避機能（VMやサンドボックスを検出して潜伏する）を持つ場合があります。

補足コラム

• 動的解析で得られる情報例：プロセスの生成、ファイル/レジストリの変更、ネットワーク接続先のIP・ドメイン、API呼び出し（Application Programming Interface：アプリがOS等に求める機能呼び出し）の履歴など。これらは、実行時にしか分からない攻撃の“物語”を示します。
• 現場での運用イメージ：疑わしいファイルが見つかったら、まずサンドボックス環境（隔離された仮想環境）で実行・観察する。サンドボックスで検出できない場合は、ログ収集や静的解析（逆コンパイル）も併用して総合的に判断します。社内では専用の窓口（CSIRTや情報システム部）に報告・提出する運用が一般的です。
• 安全対策：サンドボックスはネットワーク切断または制限、スナップショット復元、外部と切り離した環境で実行することが必須です。クラウド型の解析サービスを利用する場合は、機密情報の持ち出しに注意してください。

FAQ