情報処理安全確保支援士 2013年 春期 午前2 問13

挙動検知（ビヘイビア法）【午前2解説】

正解の理由

解法ステップ

1. 設問のキーワードを把握：「書込み動作の異常」「通信量の異常増加」「変化を監視」→ 挙動に着目しているか確認。
2. 各選択肢とキーワードを突き合わせる：コードパターン→シグネチャ法（否）、付加情報の一致→整合性検査（否）、原本と比較→既知良品比較（否）、挙動変化→ビヘイビア法（該当）。
3. 正答候補をひとつに絞る：挙動の監視を明示する選択肢を選ぶ（エ）。

選択肢別の誤答解説

• ア: あらかじめ特徴的なコードをパターンとして登録する説明は、いわゆるシグネチャ（署名）検出法です。既知ウイルスには高い精度を持つが、未知変種やポリモーフィック変異には弱いため、ビヘイビア法とは異なります。
• イ: 「検査対象に付加した情報で不整合を検出する」は、ハッシュやデジタル署名、整合性チェックに近い概念で、事前に知られた正しい状態と比較する方式です。ビヘイビア（動作監視）とは手法が異なります。
• ウ: 「安全な原本と比較して異なれば感染」とするのは、既知良品との直接比較（ファイル整合性モニタリングやバックアップ比較）であり、動作の変化を監視するビヘイビア法の説明ではありません。
• エ: ウイルス感染で現れる動作の異常（書込みや通信の増加など）を監視する点が、ビヘイビア法の定義に一致します。

よくある誤解

• ビヘイビア法は「誤検知も見逃しも両方減らす」と誤解されがちですが、実際は未知検出に有利で見逃し（false negative）を低減できる可能性がある一方、挙動の類似性から誤検知（false positive）が増えることが多い点に注意が必要です。
• 「ビヘイビア法＝なんでも検出できる」と思われがちですが、正常動作のばらつきやアプリケーション固有の振る舞いにより誤判定が起きやすく、チューニングが重要です。
• 挙動検知は必ずしもネットワーク異常だけを見るわけではなく、ファイルI/O、プロセス生成、レジストリ操作など複数のシグナルを組み合わせて判断します。

補足コラム

FAQ