情報セキュリティマネジメント 2024年 科目A 問03

ビヘイビア検出【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題が「実行が必要か」を問うている点を把握する。
2. 各手法が「静的検査（実行不要）」か「動的検査（実行必要）」かを分類する。
   • 静的検査：ファイルの中身や要約値、既知パターンを調べる → 実行不要。
   • 動的検査：実際の振る舞いを観察する → 実行が必要。
3. 各選択肢を当てはめると、振る舞いを見て判定するビヘイビア法が動的検査に該当するため実行が必要であると判断する。

選択肢別の誤答解説

• ア: コンペア法
  「コンペア」は既知の正常ファイルや以前の版と比較する手法です。ファイルの差分や構造の違いを見つける静的検査なので、プログラムを実行する必要はありません。職場での例：ソフト配布時に配布用ファイルとサーバ上のファイルを比較する運用。
• イ: チェックサム法
  チェックサム（要約値）はファイルの整合性を確認するための数値です。ハッシュ関数（例：SHA-256）で算出して比較するため実行は不要です。注意点は「変更の有無は分かるがそれがマルウェアかは分からない」点です。
• ウ: パターンマッチング法
  パターンマッチング（シグネチャ法）は既知のマルウェアのバイト列や特徴をファイル内で探します。静的スキャンで行うのが一般的で、実行は不要です。ただし未知のマルウェアや変形されたものには弱いです。
• エ: ビヘイビア法
  ビヘイビア法は実行時に現れる振る舞い（プロセスの挙動、ネットワーク接続、ファイル操作など）を元に判定します。したがって検査対象を実際に動かして観察する必要があります。サンドボックスや仮想環境での実行が典型的です。

よくある誤解

1. 「チェックサム法でマルウェアを検出できる」
   チェックサムは改ざん検知には有効ですが、改ざんの原因がマルウェアかどうかは判定できません。正しい/安全な状態の基準が必要です。
2. 「ビヘイビア法は必ず実際の環境で実行する必要がある」
   実行は必要ですが、実際の業務環境で直接動かすのではなく、サンドボックス（隔離環境）や分析用の仮想環境で動かして観察するのが通常です。
3. 「パターンマッチングは万能」
   既知のマルウェアには有効ですが、未知亜種や難読化されたものは検出できないことが多いです。複数手法の併用が現実的です。

補足コラム

FAQ