令和3年度 春期 午前Ⅱ 問13
情報セキュリティ対策
ビヘイビア法の説明
マルウェアの検出手法であるビヘイビア法を説明したものはどれか。
- アあらかじめ特徴的なコードをパターンとして登録したマルウェア定義ファイルを用いてマルウェア検査対象と比較し，同じパターンがあればマルウェアとして検出する。
- イマルウェアに感染していないことを保証する情報をあらかじめ検査対象に付加しておき，検査時に不整合があればマルウェアとして検出する。
- ウマルウェアの感染が疑わしい検査対象のハッシュ値と，安全な場所に保管されている原本のハッシュ値を比較し，マルウェアを検出する。
- エマルウェアの感染や発病によって生じるデータの読込みの動作，書込みの動作，通信などを監視して，マルウェアを検出する。
答えと解説を見る
✓ これが正解エマルウェアの感染や発病によって生じるデータの読込みの動作，書込みの動作，通信などを監視して，マルウェアを検出する。
解説
ビヘイビア法は、読込みや書込み、通信などの動作を監視して検出します。
ビヘイビア法は、振る舞い検知とも呼ばれ、プログラムが実際に行う動作を監視して、マルウェアらしい振る舞いを見つける手法です。監視する対象には、データの読込みや書込み、通信などがあります。既知の特徴に頼らないので、まだ定義ファイルに登録されていない未知のマルウェアにも効果が見込める点が特徴です。動作そのものを見ているかどうかが、他の検出手法と見分ける軸になります。
ほかの選択肢はなぜ違うのか
- アあらかじめ特徴的なコードをパターンとして…：特徴的なコードをパターンとして登録した定義ファイルと照合し、一致すれば検出するのは、パターンマッチング法です。すでに知られた特徴との照合であり、実行中の振る舞いを見る手法ではありません。
- イマルウェアに感染していないことを保証する…：感染していないことを保証する情報をあらかじめ付けておき、検査時の不整合で検出するのは、チェックサム法（インテグリティチェック法）です。付加した情報との比較であり、振る舞いの監視ではありません。
- ウマルウェアの感染が疑わしい検査対象のハッ…：疑わしい検査対象のハッシュ値と、安全に保管した原本のハッシュ値を比べて検出するのは、コンペア法です。原本との比較によって変化を見つける手法であり、プログラムの振る舞いは見ていません。
この問題の用語
- ビヘイビア法検査対象を仮想環境で実際に動かし、その挙動を監視して調べる方法です。検出方法の中で、対象のプログラムを実行する必要がある方法です。
- マルウェア定義ファイル対策ソフトが既知のマルウェアを見分けるために使う、照合用のデータ。新しいものに備えるには更新が欠かせません。
- パターン繰り返し現れる規則性や、決まった形のことを指します。膨大なデータを処理して、そこに隠れた規則性を見つける使い方が広がりました。
- ハッシュ値データから計算した固定長の値のこと。同じデータなら必ず同じ値になるので、データの比較や検索を速くするのに使われます。
- 監視機器や利用者の動きを継続して見て、記録に残しておくこと。稼働状況や性能を見張り、異常に早く気づいて対応するために行います。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
同じ用語が出る問題
- 令和7年度 秋期 午前Ⅱ 問10：認証デバイスに関する記述（パターン）
- 令和7年度 秋期 午前Ⅱ 問2（ハッシュ値）
- 令和2年度 10月 午前Ⅱ 問3：エクスプロイトコードの説明（マルウェア定義ファイル）
- 平成25年度 春期 情報セキュリティスペシャリスト試験 午前Ⅱ 問13：ビヘイビア法の説明（ビヘイビア法）
- 平成23年度 特別 情報セキュリティスペシャリスト試験 午前Ⅱ 問9：ビヘイビア法の説明（ビヘイビア法）
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）