情報セキュリティマネジメント 平成28年度 秋期 午前 問18

✓ これが正解エ 検査対象をメモリ上の仮想環境下で実行して，その挙動を監視する。

解説

動かして挙動を観察するのがビヘイビア法です。

マルウェアの検出手法は、検査したいものを実際に動かすかどうかで大きく分かれます。ビヘイビア法は、検査対象をメモリ上に用意した仮想の環境で実行し、その挙動を監視して、不審な通信や書換えといった動きから感染を判断する手法です。動かしてはじめて現れる情報を手掛かりにするところが特徴で、あらかじめ分かっている特徴と照らし合わせるパターンマッチング法とは、見ているものが違います。検査対象をメモリ上の仮想環境下で実行して挙動を監視するという記述が、この手法そのものの説明にあたります。

ほかの選択肢の解説

• ア あらかじめ検査対象に付加された，ウイルスに感染していないことを保証する情報と，検査対象から算出した情報とを比較する。：感染していないことを保証する情報を前もって付けておき、検査のときに算出した情報と突き合わせるやり方です。対象を走らせずに値が一致するかだけを見るので、動きを観察する手法とは別のものです。
• イ 検査対象と安全な場所に保管してあるその原本とを比較する。：安全な場所にしまってある原本と検査対象を見比べるやり方です。書き換えられていないかを比較で確かめる考え方であり、対象を走らせてそのふるまいを見るわけではありません。
• ウ 検査対象のハッシュ値と既知のウイルスファイルのハッシュ値とを比較する。：検査対象のハッシュ値と、既に知られているマルウェアのハッシュ値とを突き合わせるやり方です。分かっている特徴と一致するかを調べるので、実行時の動きから判断するものには当たりません。