令和元年度 秋期 基本情報技術者試験 午前 問36
テクノロジ／セキュリティマルウェアの動的解析に該当するものはどれか。
出典：令和元年度 秋期 基本情報技術者試験 午前 問36
- ア検体のハッシュ値を計算し，オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。
- イ検体をサンドボックス上で実行し，その動作や外部との通信を観測する。
- ウ検体をネットワーク上の通信データから抽出し，さらに，逆コンパイルして取得したコードから検体の機能を調べる。
- エハードディスク内のファイルの拡張子とファイルヘッダの内容を基に，拡張子が偽装された不正なプログラムファイルを検出する。
正解：イ
解説
マルウェア解析には，プログラムを実行せずにコードや構造を調べる静的解析と，実際に実行させて挙動を観測する動的解析があります。動的解析では，隔離された仮想環境（サンドボックス）で検体を動かし，ファイル操作やレジストリ変更，外部サーバとの通信などの振る舞いを記録して機能を推定します。実行を伴う点が静的解析との決定的な違いです。
選択肢ごとの解説
- ア誤り。ハッシュ値を既知のリストと照合する方法は，実行を伴わないパターンマッチングによる特定であり静的な手法です。
- イ正しい。サンドボックス上で実際に実行し，動作や通信を観測するのが動的解析です。
- ウ誤り。逆コンパイルしてコードを読み解くのは，実行を伴わない静的解析の代表例です。
- エ誤り。拡張子とファイルヘッダを突き合わせて偽装を見つける方法も，実行しないので静的な検査です。