システム監査技術者試験 令和4年度 秋期 午前II 問19

【正解】エ

ビヘイビア法は、プログラムに含まれる特定のコードではなく、実行時の振る舞いを監視してマルウェアを検出する手法です。「ビヘイビア」は行動や挙動という意味です。例えば、通常は行わない大量のファイル書換え、機密データの読込み、不審な外部サーバとの通信、他のプロセスへの侵入などを監視し、危険な挙動を検知します。したがって、読込み、書込み、通信などの動作を監視するとしたエが正解です。

アの説明は誤りです。これは、パターンマッチング法の説明です。既知のマルウェアから抽出した特徴的なコードを定義ファイルに登録し、検査対象との一致を調べます。

イの説明は誤りです。これは、チェックサム法の説明です。正常な状態を基に検査用の情報を付加又は記録しておき、後の検査で不整合があれば改ざんや感染を疑います。

ウの説明は誤りです。これは、原本との比較によって完全性を確認する比較法の説明です。安全に保存した原本のハッシュ値と検査対象のハッシュ値を照合し、内容の変化を検出します。

【ポイント】 ビヘイビア法は、コードの特徴ではなく実行時の挙動に着目します。 未知のマルウェアにも対応しやすい一方、正常な処理を誤検知する可能性があります。 既知の特徴コードとの照合はパターンマッチング法として区別します。