令和6年度 春期 午前Ⅱ 問20

✓ これが正解エマルウェアへの感染によって生じるデータの読込みの動作，書込みの動作，通信などを監視して，マルウェアを検出する。

解説

ビヘイビア法は、プログラムの動作を監視してマルウェアを見つけます。

ビヘイビア法は、振る舞い検知とも呼ばれ、プログラムが実際に動いたときのふるまいを見てマルウェアを検出する方法です。ファイルの読み書き、ほかのプログラムへの書込み、外部への通信など、マルウェアに特有の動きが現れたところで検知します。あらかじめ登録したパターンに頼らないので、まだ定義ファイルに載っていない新しいマルウェアでも、怪しい動作をすれば見つけられる可能性があります。見分ける軸は、検査の手がかりがコードの中身か、付けておいた情報との照合か、実行時の動作かです。名前のビヘイビアはふるまいの意味なので、動作を監視する方法、と結び付けて覚えます。

ほかの選択肢はなぜ違うのか

• アあらかじめ特徴的なコードをパターンとして…：特徴的なコードをパターンとして登録し、検査対象に同じものがあるかで判断するのは、パターンマッチング法の説明です。登録済みのマルウェアには強い一方、動作を見ていないので、ビヘイビア法とは手がかりが違います。
• イマルウェアに感染していないことを保証する…：感染していないことを保証する情報を前もって付けておき、検査時の不整合で見つける方法は、付加した情報との照合で判断します。プログラムの動きを観察しているわけではないので、ビヘイビア法の説明にはなりません。
• ウマルウェアへの感染が疑わしい検査対象のハ…：疑わしい検査対象のハッシュ値を、安全な場所に保管した原本のハッシュ値と比べる方法は、内容が変わっていないかを照合して判断するものです。実行時の動作を監視するビヘイビア法とは別の手法です。