マルウェアの動的解析を見分ける着眼点
基本情報技術者試験 令和元年度秋期 午前 問36 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
マルウェアの動的解析に該当するものはどれか。
- ア
検体のハッシュ値を計算し，オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。
- イ
検体をサンドボックス上で実行し，その動作や外部との通信を観測する。
- ウ
検体をネットワーク上の通信データから抽出し，さらに，逆コンパイルして取得したコードから検体の機能を調べる。
- エ
ハードディスク内のファイルの拡張子とファイルヘッダーの内容を基に，拡張子が偽装された不正なプログラムファイルを検出する。
会話形式の解説
講師判断の鍵は、検体を実際に動かしているかどうかです。動的解析では、実行中の動作や通信を観測します。
受験者通信を調べる選択肢が二つあるので、通信という言葉だけでは決められないと思います。
講師そのとおりです。サンドボックスという隔離環境で検体を実行し、その動作や外部との通信を観測する方法が該当します。
受験者ネットワークの通信データから検体を取り出す方法も、通信に触れているので紛らわしいです。
講師取り出した後に調べるのは、逆コンパイルで得たコードです。検体を実行して挙動を観測しているわけではないので、動的解析には該当しません。
受験者ハッシュ値を既知のマルウェアのリストと照合する方法は、検体の識別には役立ちます。
講師はい。ただし、ハッシュ値を照合しても実行中の動作は見ていません。これも動的解析には該当しません。
受験者拡張子とファイルヘッダーを照合する方法も、ファイルの情報だけを調べています。
講師その方法は、拡張子が偽装されたファイルの検出に使います。プログラムを実行したときの動作は調べていません。
受験者検体を取り出す場面や通信という言葉に引っ張られず、実行中の挙動を観測しているかで判断します。
講師その見方で整理できます。逆コンパイルで得たコードを調べる方法は、実行を伴わない静的解析です。
まとめ
動的解析は、検体を実行して動作や外部との通信を観測する方法です。この問題では、サンドボックス上で検体を実行する選択肢が該当します。ハッシュ値の照合、逆コンパイルしたコードの調査、拡張子とファイルヘッダーの照合は、いずれも実行中の挙動を観測していません。
解答・解説
正解はイです
この問題のテーマ
マルウェアの動的解析を、検体を実行しない識別・解析手法と区別する問題です。
解き方の考え方
判断の鍵は、検体を実際に動かしているかどうかです。動的解析では、実行中の動作や通信を観測します。検体を実行せず、ハッシュ値やコード、ファイルの内容を調べる方法は該当しません。
選択肢ごとの解説
- ×ア 検体のハッシュ値を計算し，オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。ハッシュ値を既知のマルウェアのリストと照合する方法は、検体の識別に役立ちます。ただし、検体を実行して挙動を観測しているわけではないため、動的解析には該当しません。
- ○イ 検体をサンドボックス上で実行し，その動作や外部との通信を観測する。検体をサンドボックスという隔離環境で実行し、その動作や外部との通信を観測しています。実行中の挙動を調べるので、動的解析に該当します。
- ×ウ 検体をネットワーク上の通信データから抽出し，さらに，逆コンパイルして取得したコードから検体の機能を調べる。通信データから検体を取り出した後、逆コンパイルで得たコードを調べる方法です。コードを読んで機能を調べており、検体の実行中の挙動を観測する動的解析には該当しません。
- ×エ ハードディスク内のファイルの拡張子とファイルヘッダーの内容を基に，拡張子が偽装された不正なプログラムファイルを検出する。拡張子とファイルヘッダーを照合して、ファイルの偽装を見つける方法です。判断に使うのはファイルの情報であり、プログラムを実行したときの動作ではありません。
POINT
- 動的解析は、検体を実行して挙動を調べます。
- サンドボックスは、検体を隔離して実行するための環境です。
- 逆コンパイルで得たコードの調査は、実行を伴わない静的解析です。