ITパスポート 2018年 秋期 問84

マルウェムが他PCに存在するか調べる方法【ITパスポート 解説】

正解の理由

解法ステップ

1. 感染PCを隔離する
   • まず被害拡大を防ぐため、ネットワークから切り離します。業務システムに触れる前に安全確保が重要です。
2. 該当マルウェアファイルを特定する
   • マルウェア実行ファイルや疑わしいファイルの場所を確認します。ファイルを“そのまま”触ると上書きやログが更新される恐れがあるため注意。
3. ハッシュ値を計算する（例：SHA-256を推奨）
   • Windows（PowerShell）: Get-FileHash コマンドを使用
     例: Get-FileHash -Algorithm SHA256 C:\path\to\file.exe
   • Linux/macOS: sha256sum コマンドを使用
     例: sha256sum /path/to/file
   • 簡単な Python 例:

     import hashlib
     def sha256_of_file(path):
         h = hashlib.sha256()
         with open(path, 'rb') as f:
             for chunk in iter(lambda: f.read(8192), b''):
                 h.update(chunk)
         return h.hexdigest()
     print(sha256_of_file('sample.exe'))
     

4. ネットワーク／他PCで同じハッシュを検索する
   • 中央管理のアンチウイルスやEDR（Endpoint Detection and Response：端末の脅威検出・対応ツール）でハッシュを照合。
   • SIEM（Security Information and Event Management：ログ集約・分析システム）があればそこで検索。
   • 共有ファイルサーバやバックアップにも同じハッシュがあるか確認。
5. 見つかったら証拠保全と対応
   • 同じハッシュが見つかったファイルはコピーして証拠として保存（タイムスタンプやアクセスログも記録）。
   • 該当PCを調査・復旧（マルウェア除去、OS再インストール、パスワード変更など）。

選択肢別の誤答解説

• ア: そのマルウェアと同じアクセス権が設定されているファイルを探す。
  • アクセス権（ファイルに誰が読み書きできるかの設定）はファイルごとに変わります。同じ権限でも内容が異なれば別ファイルです。権限はコピー時やシステム設定で変わるため信頼できません。
• イ: そのマルウェアと同じ拡張子をもつファイルを探す。
  • 拡張子（例：.exe、.dll）はファイルの種類を示すだけで、中身が同じかどうかは分かりません。拡張子が同じでも別物の正規プログラムや他のファイルが多数存在します。
• ウ: そのマルウェアと同じ所有者のファイルを探す。
  • 所有者（ファイルのオーナー）は作成者やシステムの設定で変わります。所有者が同じでも異なるファイルは多数あり、有効な判定方法ではありません。

よくある誤解

1. 「拡張子が同じなら同じファイル」
   • 拡張子は表面的なラベルです。同じ拡張子＝同じ中身ではありません。
2. 「ハッシュは万能で常に検出できる」
   • 完全一致のハッシュは強力ですが、マルウェアが改変（ポリモーフィックやパッカーで変形）されるとハッシュが変わります。こうした場合は別の手法（ふわっと一致するハッシュや振る舞い検知）が必要です。

補足コラム

• ハッシュの種類と選び方
  • MD5やSHA-1は古く、衝突（異なるファイルが同じハッシュになる）攻撃が実証されています。信頼性を高めるにはSHA-256などより強力なハッシュを使うのが一般的です。
• ハッシュが一致したときの意味
  • 同じハッシュ＝バイナリレベルで同一ファイルである可能性が非常に高いです。証拠として使えますが、調査ではファイルの挙動ログやネットワーク通信も合わせて評価します。
• ハッシュでは検出できない改変に備える手法
  • ssdeep（ふわっと一致するハッシュ）やYARA（ルールでマルウェアパターンを検出）、EDRの振る舞い検知があります。状況に応じて使い分けます。

• EDR: Endpoint Detection and Response（端末の脅威検出・対応ツール）
• SIEM: Security Information and Event Management（ログ収集・分析システム）
• YARA: マルウェアの特徴をルールで表現して検出する仕組み

FAQ