平成27年度 秋期 午前 問43

✓ これが正解アワーム検体と同一のワーム

解説

ハッシュが完全に一致するもの、つまり同一のみ検知できます。

ハッシュ関数は、入力に少しでも違いがあれば結果の値が別のものになるように作られています。ですから、既知の検体から求めておいたハッシュ値と、検査対象のファイルから求めたハッシュ値とを突き合わせる方式では、両者の中身がひとつのバイトまで完全に揃っているものだけが同じ値になり、それ以外はすべて別の値として現れます。見分けるときの軸は一つで、その対象が検体と全一致するかどうかです。少しでも書き換えられた変種や、書き方の一部が同じでも他の場所が異なるもの、あるいは全体の大きさが偶然そろっただけのものは、いずれも中身のどこかで違いが生じていれば別の値になります。したがって、この方式で検知できるのは、検体と何も違わない対象に限られます。

ほかの選択肢はなぜ違うのか

• イワーム検体と特徴あるコード列が同じワーム：目立つ命令の並びだけがそろっていても、他の場所に1バイトでも差があれば求まる値は変わります。ハッシュ値の照合では検知できません。
• ウワーム検体とファイルサイズが同じワーム：全体の大きさが同じでも、中身の並びが違えばハッシュは別の値になります。ファイルの大きさは中身を保証しません。
• エワーム検体の亜種に当たるワーム：少し姿を変えた変種は、その書換えの箇所で中身が違っています。ハッシュ値も検体と一致せず、突き合わせでは拾えません。