平成31年度 春期 午前Ⅱ 問21

✓ これが正解エマルウェアの感染や発病によって生じるデータの読込みと書込みの動作や通信などを監視して，マルウェアを検出する。

解説

ビヘイビア法は、動作を監視してマルウェアを検出する方法です。

見分ける軸は、何と比べて、あるいは何を見てマルウェアと判断するかです。ビヘイビア法は、プログラムが実際に動いたときのふるまい、たとえばデータの読込みや書込み、通信といった動作を監視し、マルウェアに特有の怪しい動きを見つけて検出する方法です。動作に着目するので、定義ファイルにまだ登録されていない未知のマルウェアでも見つけられる可能性があります。これに対し、登録済みの特徴的なコードと照らし合わせる方法、事前に付けた情報との不整合を調べる方法、原本と比べる方法は、いずれもファイルの中身を比べて判断します。中身を比べるか、動きを見るか、で分けると、動きを見るのがビヘイビア法だと判断できます。

ほかの選択肢はなぜ違うのか

• アあらかじめ特徴的なコードをパターンとして…：定義ファイルに登録した特徴的なコードと検査対象を比べ、同じパターンがあれば検出するのは、既知のマルウェアの特徴を照らし合わせる方法です。定義ファイルに無い新しいマルウェアは見つけにくく、動作を監視する方法とは判断の手がかりが違います。
• イマルウェアに感染していないことを保証する…：感染していないことを保証する情報をあらかじめ付けておき、検査時の不整合で検出するのは、チェックサムなどを使って書換えを見つける方法です。ファイルが変えられたかを調べるもので、動作の監視ではありません。
• ウマルウェアの感染が疑わしい検査対象のハッ…：検査対象のハッシュ値を、安全な場所に保管した原本のハッシュ値と比べるのは、原本との違いから書換えを見つける方法です。ファイルの中身を比べて判断するもので、読み書きや通信の動きを監視する方法とは異なります。