マルウェア検出方法4種、プログラムを動かす必要があるのはどれか
情報セキュリティマネジメント試験 令和6年度 問3 ／ セキュリティ › 情報セキュリティ対策
過去問にチャレンジ
マルウェアの検出方法のうち，検査対象のプログラムを実行する必要があるものはどれか。
- ア
コンペア法
- イ
チェックサム法
- ウ
パターンマッチング法
- エ
ビヘイビア法
会話形式の解説
講師今回はマルウェアの検出方法を4つ取り上げます。どの手法が検査対象のプログラムを実際に動かす必要があるのかを見分ける問題です。それぞれの手法が「何と何を比べるのか」「何を観察するのか」に注目してください。
受験者名前は全部見たことがあります。ただ、パターンマッチング法とビヘイビア法のどちらが動かす側なのか、いつも迷ってしまいます。
講師では比べる手法から順に見ていきましょう。コンペア法は、正常な原本と検査対象を比べて、違いがあるかどうかを調べる方式です。プログラムを起動する必要はあるでしょうか。
受験者ファイル同士を比べるだけなら、起動しなくてもできそうです。
講師そのとおりです。チェックサム法も同じ考え方です。あらかじめ記録しておいた基準値と、今のファイルから計算した値を照合して、プログラムが変更されていないかを確かめます。値を計算して比べるだけなので、これも起動は必要ありません。
受験者パターンマッチング法は、マルウェアの特徴を探す方法ですよね。特徴は動かしてみないと分からない気もするのですが、どうでしょうか。
講師そこが迷いやすいところです。パターンマッチング法は、既知の不正コードの特徴とファイルの中身を照合する方式です。中身を読んで調べる静的な検査、つまり動かさずに行う検査なので、起動は必要ありません。ただし、照合に頼るため、未知のマルウェアや形を変えたマルウェアは見逃されることがあります。
受験者中身の「コード」を照合するのか、動いたときの「ふるまい」を見るのかで区別すればよいのですね。
講師はい。ビヘイビアは「ふるまい」という意味です。ビヘイビア法は、プログラムが動作しているときの行為、たとえばファイルへの操作や通信などを観察して不正を検知します。動かさないと観察する材料が得られないので、検査対象を実行する必要があります。これが正解です。
受験者でも、マルウェアかもしれないものを動かしたら危なくないですか。
講師よい疑問です。本番の環境に影響が出ないように、通常は隔離された環境で動かして検査します。ビヘイビア法の検査では、サンドボックスと呼ばれる隔離環境が使われることが多いです。
受験者整理すると、コンペア法、チェックサム法、パターンマッチング法は比べるだけの静的な検査で、ふるまいを観察するビヘイビア法だけが実行を必要とする、ということですね。
講師その理解で大丈夫です。最後に一つ補足します。チェックサム法で値が一致しなかったとしても、それは「変更があった」ことを示すだけです。それだけでは感染と確定できない点にも注意してください。
まとめ
マルウェアの代表的な検出方法のうち、検査対象を実行する必要があるのはビヘイビア法です。コンペア法は原本と、チェックサム法は記録しておいた基準値と、パターンマッチング法は既知の不正コードの特徴と照合する静的な検査で、プログラムを起動しなくても行えます。ビヘイビア法はファイルへの操作や通信など動作中のふるまいを観察するため、サンドボックスのような隔離環境で対象を動かして検査します。パターンマッチング法は未知や変形済みのマルウェアを見逃すことがあり、チェックサム法の不一致は変更があったことを示すだけで、感染の確定にはならない点も押さえておきましょう。
解答・解説
正解はエです
この問題のテーマ
代表的なマルウェア検出手法4つについて、検査対象のプログラムを実際に動かす必要があるかどうかを区別できるかを問う問題です。
解き方の考え方
各手法が「何と何を比べるのか」「何を観察するのか」を思い出すと解けます。原本、基準値、既知の不正コードと比べる手法は、ファイルの中身を調べるだけで済むので、プログラムを起動しない静的な検査です。これに対して、動作中にどのような行為をするかを観察する手法は、対象を実際に動かさないと判断材料が得られません。この観点で選択肢を見ると、動作を観察するビヘイビア法だけが当てはまります。
選択肢ごとの解説
- ×ア コンペア法コンペア法の説明は、正常な原本と検査対象を比べて、違いがあるかどうかを調べる方式です。ファイル同士を比べるだけなので、検査対象を起動する必要はありません。
- ×イ チェックサム法チェックサム法は、あらかじめ記録しておいた基準値と現在の値を照合して、プログラムの変更を見つける方式です。値を計算して比べるだけなので、検査対象を起動する必要はありません。
- ×ウ パターンマッチング法パターンマッチング法は、既知の不正コードの特徴と照合してマルウェアを見つける方式です。ファイルの中身を調べる静的な検査なので、起動は必要ありません。一方で、未知のマルウェアや形を変えたマルウェアは照合で見逃されることがあります。
- ○エ ビヘイビア法ビヘイビア法は、プログラムが動作しているときの行為から不正を検知する方式なので、検査対象を起動する必要があります。観察する対象は、ファイルへの操作や通信などです。検査は通常、本番の環境に影響が出ないように隔離された環境で行います。
補足
隔離された環境でプログラムを動かして挙動を観察するしくみをサンドボックスといい、ビヘイビア法と組み合わせて出題されることがあります。また、チェックサム法の値が一致しないことは「変更があった」ことを示すだけです。それだけでは感染と確定できない点にも注意してください。
POINT
- コンペア法、チェックサム法、パターンマッチング法は、どれも検査対象を起動せずに行える静的な検査です。
- ビヘイビア法は、動作中の行為を観察する手法なので、検査対象を実行する必要があります。
- ビヘイビア法では、ファイルへの操作や通信などのふるまいを観察し、隔離された環境で検査するのが一般的です。
- パターンマッチング法は既知の特徴との照合に頼るため、未知や変形済みのマルウェアを見逃すことがあります。