情報セキュリティマネジメント 平成30年度 春期 午前 問16

✓ これが正解ア ワーム検体と同一のワーム

解説

ハッシュ値が一致するのは中身が同じ検体だけです。

ハッシュ関数は、入力データから決まった長さの値を求めるもので、同じ入力からはいつも同じ値が、少しでも違う入力からはまったく別の値が出ます。SHA-256でもこの性質は同じです。だから、検査したファイルの値が既知のワーム検体の値と一致したということは、そのファイルの中身が検体とそっくり同じだという意味になります。この方式で見つけられるのは、検体と同一のワームだけです。中身が1バイトでも書き換えられていれば値は合わなくなるので、少しでも作り替えられたものは照合に引っ掛かりません。

ほかの選択肢の解説

• イ ワーム検体と特徴あるコード列が同じワーム：特徴あるコード列だけが共通するものは、ファイル全体としては検体と別の中身です。全体から求めた値は合わないので、部分的な共通点を手掛かりにする見つけ方は、この照合ではできません。
• ウ ワーム検体とファイルサイズが同じワーム：ファイルサイズが同じでも、並んでいるデータが違えば求まる値は別物になります。大きさがそろっていることは中身がそろっていることを意味しないため、この照合では拾えません。
• エ ワーム検体の亜種に該当するワーム：亜種は元の検体に手を加えて作られたもので、中身が違います。中身が変われば値も変わるため、あらかじめ登録された検体の値と突き合わせる方式では見つけ出せません。