ITパスポート 2011年 秋期 問61

ウイルス対策ソフトに関する記述 a～c【ITパスポート 解説】

正解の理由

• a: USBメモリから感染するタイプのウイルスを検知できるものがある。
  → ウイルス対策ソフト（コンピュータ上でウイルスなどの不正プログラムを見つけて処理するソフト）は、USBメモリ内のファイルをスキャンして感染するファイルを見つけられます。USBは外部媒体なので、そこにあるマルウェアを検出する機能を備えた製品があります。
• b: 定期的にウイルス対策ソフトとウイルス定義ファイルの更新を行っていても、ウイルスを検知できないことがある。
  → ウイルス定義ファイル（既知のウイルスの特徴を集めたデータベース）は重要ですが、新種（ゼロデイ攻撃）や変種は定義にないため、検出できない場合があります。また、暗号化や難読化で検出を逃れる手口もあります。
• c: ボットウイルスを検知できるものがある。
  → ボットウイルス（感染したコンピュータを遠隔操作し、攻撃やスパムなどに使うマルウェア）を検知する機能を持つ製品があります。例えば、通信の異常や不審なプロセスを監視してボット感染を見つけるタイプの対策ソフトがあります。

解法ステップ

1. 各記述の意味を確認する。専門用語は一言で理解する（例：ウイルス定義ファイル＝既知のウイルス情報の集まり）。
2. ウイルス対策ソフトの基本機能を思い出す：ファイルスキャン（ディスク・外部媒体）、シグネチャ（署名）検出、ヒューリスティック（振る舞い）検出、ネットワーク監視など。
3. a〜cがその機能で対応可能かを判断する。
4. 全て対応可能であれば「a, b, c」を含む選択肢を選ぶ。今回それが イ。

選択肢別の誤答解説

• ア: a, b
  → c（ボットウイルス検知）ができないとしていますが、実際にはボット検知機能を持つ製品があるため不正解です。
• イ: a, b, c（正解）
  → a（USBスキャン可能）、b（更新しても検出不能な場合がある）、c（ボット検知可能）いずれも事実です。
• ウ: b
  → aやcを否定していますが、どちらも可能なため不正解です。
• エ: b, c
  → a（USBメモリからの感染検知）を否定していますが、USB内をスキャンする機能があるため不正解です。

よくある誤解

1. 「定義ファイルを最新にすれば絶対に安全」
   → 定義ファイルで検出できるのは既知の脅威が中心です。ゼロデイ攻撃や未知の変種は検出漏れの可能性があります。複数の防御（振る舞い検知やソフトのアップデート、ユーザ教育）が必要です。
2. 「USBの自動実行を無効にすればUSB感染は完全に防げる」
   → 自動実行を無効にすることでリスクは減りますが、ユーザがファイルを開くと感染するケースや、隠しファイル・ドキュメントのマクロ経由で感染するケースは残ります。総合的対策が重要です。
3. 「ボットは必ずネットワーク通信で見つかる」
   → 一部は暗号化通信や合法的なプロトコルに偽装するため、見つけにくい場合があります。エンドポイント（端末）側の振る舞い検知やログ解析も必要です。

補足コラム

• 検出手法の種類（簡単に）
  • シグネチャ検出（signature detection）：既知のウイルスの「指紋」を照合して検出する方法。高速で正確だが未知には弱い。
  • ヒューリスティック検出（heuristic detection）：不審なコードの特徴や振る舞いを基に検出する方法。未知ウイルスにも一定の効果があるが誤検知のリスクがある。
  • サンドボックス（sandbox）：疑わしいファイルを隔離環境で実行し、実際の振る舞いを観察して検出する方法。安全に振る舞いを確認できる。
  • EDR（Endpoint Detection and Response：端末検出と対応）：端末上の挙動や通信を継続監視し、感染や侵害を検出して対応する仕組み。
• 実務上の対策ポイント（企業向け）
  • 定義ファイルの自動更新を有効にする。
  • 振る舞い検知やEDRを併用する。
  • USBなど外部メディアの利用ポリシー運用と、ユーザ教育を行う。

FAQ