情報セキュリティマネジメント 平成30年度 春期 午前 問23

✓ これが正解イ サンドボックス上で検体を実行し，その動作や外部との通信を観測する。

解説

実際に動かして動作と通信を見るのが動的解析です。

マルウェアの解析には、実際に走らせて確かめる動的解析と、走らせずに中身を読み解く静的解析があります。動的解析は、検体を動かしてみて、どんな処理をするのか、外部のどことやり取りするのかを観測するやり方です。そのまま実行させると被害が出るので、外と切り離した閉じた環境であるサンドボックスの中で走らせます。検体をサンドボックス上で実行し、その動作や外部との通信を観測するという記述は、この動的解析そのものです。動かして初めて分かることを見にいく、という点が要です。

ほかの選択肢の解説

• ア 解析対象となる検体のハッシュ値を計算し，オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。：検体から求めた値をオンラインの一覧と突き合わせてどのマルウェアかを判定するのは、あらかじめ登録された値と照らし合わせる手順です。走らせも中身を読み解きもしないので、動作を観測する方法には当たりません。
• ウ ネットワーク上の通信データから検体を抽出し，さらに，逆コンパイルして取得したコードから検体の機能を調べる。：通信データから取り出した検体を逆コンパイルし、得られたコードから機能を調べるのは、走らせずに中身を読み解くやり方です。これは静的解析であり、観測している対象が動作ではありません。
• エ ハードディスク内のファイルの拡張子とファイルヘッダの内容を基に，拡張子が偽装された不正なプログラムファイルを検出する。：拡張子とファイルヘッダの内容を照らし合わせて偽装されたファイルを見つけるのは、保存されているファイルを調べる検査です。振る舞いを見ているわけではないので、当てはまりません。