ITパスポート 平成30年度 秋期 特別措置試験 問84

✓ これが正解エ そのマルウェアと同じハッシュ値のファイルを探す。

解説

中身から計算する値なので、名前を変えても同じままです。

ハッシュ値は、ファイルの中身から計算して得られる、決まった長さの短い値です。中身が一文字でも違えば、まったく別の値になります。逆に中身が同じであれば、名前を変えても、置き場所を変えても、同じ値になります。だから、同じファイルが他にもあるかを探すときの目印として使えます。見つかった端末で値を計算し、同じ値のファイルを他で探せば、名前を変えていても見つかります。攻撃する側は、気づかれにくくするために名前や拡張子をよく変えます。持ち主や権限の設定も、後からいくらでも変えられます。中身と結び付いているのは、計算して得た値のほうだけです。ただし、中身を少しでも書き換えられると値も変わるので、これだけで探し切れるわけではありません。残る三つは、どれも中身ではなく、外側に付けられた情報を手掛かりにしています。

ほかの選択肢の解説

• ア そのマルウェアと同じアクセス権が設定されているファイルを探す。：同じアクセス権が設定されているファイルを探すという肢です。アクセス権は、誰が読み書きしてよいかという設定で、後からいくらでも変えられます。中身と結び付いていないので、まったく無関係なファイルが大量に当たってしまいます。
• イ そのマルウェアと同じ拡張子をもつファイルを探す。：同じ拡張子をもつファイルを探すという肢です。拡張子は名前の末尾に付ける印にすぎず、書き換えても中身は変わりません。攻撃する側は、気づかれにくくするためにここを変えてきます。同じ拡張子の無害なファイルも山ほどあります。
• ウ そのマルウェアと同じ所有者のファイルを探す。：同じ所有者のファイルを探すという肢です。所有者は、そのファイルを作った利用者や仕組みを示す情報で、これも後から変えられます。同じ利用者が作った無関係なファイルまで含まれてしまい、絞り込みになりません。中身と結び付いた情報ではありません。