ネットワークスペシャリスト試験 令和6年度 春期 午前II 問20

【正解】エ

ビヘイビア法は、検査対象のプログラムを動作させ、その振る舞いを監視してマルウェアかどうかを判定する手法です。例えば、通常のソフトウェアでは行わない大量のファイル書換え、重要な領域への書込み、不審なプロセスの生成、外部の指令サーバとの通信などを検知します。既知のコードパターンそのものではなく動作を手掛かりにするため、定義ファイルにまだ登録されていない未知のマルウェアや、コードを変形した亜種を発見できる可能性があります。一方、正常な処理を不審な動作と判断する誤検知や、監視環境では活動しないマルウェアを見逃す可能性があります。

アの説明は誤りです。これは、既知のマルウェアから抽出した特徴的なコードをシグネチャとして登録し、一致を調べるパターンマッチング法です。

イの説明は誤りです。これは、チェックサムなどの検査情報を正常な時点で付加又は記録し、後の検査で不整合を調べる完全性検査の考え方です。動作を監視する手法ではありません。

ウの説明は誤りです。これは、安全に保管した原本と検査対象のハッシュ値を照合して改ざんの有無を調べるコンペア法です。ただし、差異の原因が必ずマルウェアだと断定できるわけではありません。

【ポイント】 パターンマッチング法は既知のマルウェアに強く、ビヘイビア法は未知の攻撃にも対応しやすい手法です。 実際の対策製品では、複数の検出手法を組み合わせて検出率を高めます。