サイバー攻撃手法とマルウェア｜平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18
ウイルス検出におけるビヘイビア法に分類されるものはどれか。
- あらかじめ検査対象に付加された，ウイルスに感染していないことを保証する情報と，検査対象から算出した情報とを比較する。
- 検査対象と安全な場所に保管してあるその原本とを比較する。
- 検査対象のハッシュ値と既知のウイルスファイルのハッシュ値とを比較する。
- ✓ これが正解検査対象をメモリ上の仮想環境下で実行して，その挙動を監視する。
解説
動かして挙動を観察するのがビヘイビア法です。
マルウェアの検出手法は、検査したいものを実際に動かすかどうかで大きく分かれます。ビヘイビア法は、検査対象をメモリ上に用意した仮想の環境で実行し、その挙動を監視して、不審な通信や書換えといった動きから感染を判断する手法です。動かしてはじめて現れる情報を手掛かりにするところが特徴で、あらかじめ分かっている特徴と照らし合わせるパターンマッチング法とは、見ているものが違います。検査対象をメモリ上の仮想環境下で実行して挙動を監視するという記述が、この手法そのものの説明にあたります。
ほかの選択肢はなぜ違うのか
- 感染していないことを保証する情報を前もって付けておき、検査のときに算出した情報と突き合わせるやり方です。対象を走らせずに値が一致するかだけを見るので、動きを観察する手法とは別のものです。
- 安全な場所にしまってある原本と検査対象を見比べるやり方です。書き換えられていないかを比較で確かめる考え方であり、対象を走らせてそのふるまいを見るわけではありません。
- 検査対象のハッシュ値と、既に知られているマルウェアのハッシュ値とを突き合わせるやり方です。分かっている特徴と一致するかを調べるので、実行時の動きから判断するものには当たりません。
この問題に関係する言葉
- ビヘイビア法検査対象を仮想環境で実際に動かし、その挙動を監視して調べる方法です。検出方法の中で、対象のプログラムを実行する必要がある方法です。
- マルウェアウイルスやランサムウェアなど、利用者に害を与える目的で作られたソフトの総称です。感染すると情報を盗まれたり操作できなくされたりします。
- パターンマッチング既知のマルウェアの特徴と検査対象を照らし合わせて見つける方法です。特徴が未知のものは見つけられないので、定義の更新が要ります。
- ハッシュ値データから計算した固定長の値のこと。同じデータなら必ず同じ値になるので、原本と複製が同一かどうかの証明に使われます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18
同じ単元をまとめて解くならサイバー攻撃手法とマルウェアへ。
この解説に誤りを見つけたら教えてください。直して、直した記録を残します。誤りを報告する（メールが開きます）