システム監査技術者 2016年 午前2 問20

ビヘイビア法【午前2解説】

正解の理由

解法ステップ

1. 選択肢が「コードの特徴」「データの整合性」「原本との比較」「動作の監視」のどれを説明しているかに注目します。
2. ビヘイビア法の「ビヘイビア」は、英語の behavior（振る舞い・動作）を意味します。
3. 動作の変化を監視して検出するものを選びます。

選択肢別の誤答解説

• ア：ウイルス特有のコードパターンを定義ファイルと照合する方法です。シグネチャ法（パターンマッチング法）の説明です。
• イ：検査対象に付加された情報と検査時の状態を照合し、改ざんや感染による不整合を検出する方法です。完全性チェックに基づく検出の説明です。
• ウ：感染が疑われる対象を、保管しておいた正常な原本と比較する方法です。原本との比較による検出の説明です。
• エ：書込み動作や通信量など、感染や発病に伴う動作の変化を監視する方法です。ビヘイビア法の説明です。

よくある誤解

• ウイルス定義ファイルを使う方法を、ビヘイビア法と混同する
  定義ファイルのパターンと照合するのは、シグネチャ法です。
• ファイルの変化を調べる方法を、すべてビヘイビア法と考える
  ファイルの内容や整合性を調べる方法と、プログラムの動作を監視する方法は区別します。
• ビヘイビア法なら、未知のウイルスを必ず検出できると考える
  未知の脅威の検出に役立ちますが、動作が不審と判定される条件や監視範囲によって、検出できない場合もあります。

補足コラム

FAQ