システム監査技術者 2022年午前2 問19

問題文

マルウェアの検出手法であるビヘイビア法を説明したものはどれか。

🖊️ 解答を隠して解いてみる

ア：あらかじめ特徴的なコードをパターンとして登録したマルウェア定義ファイルを用いてマルウェア検査対象と比較し、同じパターンがあればマルウェアとして検出する。

イ：マルウェアに感染していないことを保証する情報をあらかじめ検査対象に付加しておき、検査時に不整合があればマルウェアとして検出する。

ウ：マルウェアへの感染が疑わしい検査対象のハッシュ値と、安全な場所に保管されている原本のハッシュ値を比較し、マルウェアを検出する。

エ：マルウェアへの感染によって生じるデータの読込みの動作、書込みの動作、通信などを監視して、マルウェアを検出する。（正解）

🔒 解説は解答すると表示されます

ビヘイビア法は、マルウェアの実行中に現れる不審な動作を監視して検出する方法です。データの読込みや書込み、外部との通信などの動作を調べるため、該当するのはエです。

「マルウェアを検出する方法は、すべてパターン照合である」
パターン照合はシグネチャ法です。ビヘイビア法は、動作を監視して検出します。
「ハッシュ値を使う方法もビヘイビア法である」
ハッシュ値の比較は、ファイルの内容が変わったかどうかを調べる方法です。実行時の振る舞いは調べません。
「不審な動作があれば、必ずマルウェアである」
正常なソフトウェアでも、状況によっては不審に見える動作をする場合があります。そのため、監視結果だけで誤検知が生じる可能性があります。

ビヘイビア法は、まだ定義ファイルに登録されていない未知のマルウェアでも、不審な動作を示せば検出できる可能性があります。一方で、正常なプログラムの動作を誤ってマルウェアと判断する場合もあります。既知の特徴を照合するシグネチャ法と、動作を監視するビヘイビア法は、検出の着眼点が異なります。

Q. ビヘイビア法では、実行前のファイルを調べますか？
A. 主に実行中の動作を監視します。動作の内容を分析して、不審な振る舞いがないかを判断します。

Q. ハッシュ値の比較で分かることは何ですか？
A. 基準となる原本と比べて、検査対象の内容が変化しているかどうかです。ハッシュ値の比較だけでは、その変化がマルウェアによるものかまでは判断できません。

関連キーワード: ビヘイビア法、シグネチャ法、パターンマッチング、ハッシュ値、完全性検査

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！