平成24年度 秋期 午前 問42

✓ これが正解エ検査対象プログラムを動作させてその挙動を監視し，もしウイルスによく見られる行動を起こせばウイルスとして検知する。

解説

動かして挙動を見る手法がビヘイビア法です。

ビヘイビア法という名前の behavior は、ふるまいという意味です。名前がそのまま手法の中身を指していますから、検査の対象を実際に動かして、その様子を見ていると読める記述を探せば決まります。ビヘイビア法は、検査対象のプログラムを隔離した環境で走らせ、書き換えてはいけない領域に手を出す、勝手に外へ通信する、といったマルウェアによく見られる行動が現れたときに検知します。強みは、特徴的なコード列をあらかじめ知っていなくてよいことで、まだ知られていないものにも当たります。弱みは、動かさなければ判定できないことと、正常なプログラムを誤って検知することがある点です。四つの記述を、何を材料にして判定しているかで並べ直すと、この手法だけが浮き上がります。材料が実行中の動きなのか、それとも既知の特徴やファイルのあるべき姿なのかを、記述ごとに見分けてください。

ほかの選択肢はなぜ違うのか

• アウイルスの特徴的なコード列が検査対象プロ…：特徴的なコード列が検査対象の中にあるかどうかを調べる方式です。あらかじめ集めておいた既知の情報と照合しているだけなので、その一覧に載っていないものには当たりません。
• イ各ファイルに，チェックサム値などウイルス…：ウイルスではないことを保証する情報を各ファイルに先に付けておき、それが付いていないか無効になっていることで気づく方式です。見ているのは付加した情報の状態であって、走らせた結果ではありません。
• ウ検査対象ファイルのハッシュ値と，安全な場…：安全な場所に保管してある原本のハッシュ値と比べ、違っていれば検知する方式です。変えられたことには気づけますが、止まったままのファイルどうしを突き合わせているにすぎません。