平成28年度 春期 午前Ⅱ 問20

✓ これが正解エウイルスの感染や発病によって生じるデータ書込み動作の異常や通信量の異常増加などの変化を監視して，感染を検出する。

解説

ビヘイビア法は、感染による動作の異常を監視して検出します。

ビヘイビア法は、マルウェアの感染や発病によって生じる動作の変化に着目して検出する方法で、振る舞い検知とも呼ばれます。見分ける軸は、何を手掛かりに検出しているかです。ビヘイビア法では、ファイルの中身を既知のパターンと照らし合わせるのではなく、実際に動いたときの振る舞い、たとえば不審なデータの書込みや通信量の急な増加などの異常を監視します。動作を見て判断するので、パターンがまだ登録されていない新しいマルウェアでも検出できる可能性があります。中身を比べるか、動きを見るかで分けると、検出方法を区別しやすくなります。

ほかの選択肢はなぜ違うのか

• アあらかじめ特徴的なコードをパターンとして…：特徴的なコードをパターンとしてウイルス定義ファイルに登録し、検査対象と比べて同じパターンを探すのは、パターンマッチング法の説明です。中身を照合する方法であり、動作の異常を監視するものではありません。
• イウイルスに感染していないことを保証する情…：感染していないことを保証する情報をあらかじめ付けておき、検査時の不整合で感染を見つけるのは、チェックサムなどを使う方法の説明です。データの改変を見つける方法であり、振る舞いの監視ではありません。
• ウウイルスの感染が疑わしい検査対象を，安全…：安全な場所に保管した原本と検査対象を比べ、違いがあれば感染と判断する方法の説明です。原本との突き合わせで判断するもので、感染によって生じる動作の異常を監視する方法ではありません。