令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
テクノロジ／セキュリティマルウェアの検出手法であるビヘイビア法を説明したものはどれか。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13
- アあらかじめ特徴的なコードをパターンとして登録したマルウェア定義ファイルを用いてマルウェア検査対象と比較し，同じパターンがあればマルウェアとして検出する。
- イマルウェアに感染していないことを保証する情報をあらかじめ検査対象に付加しておき，検査時に不整合があればマルウェアとして検出する。
- ウマルウェアの感染が疑わしい検査対象のハッシュ値と，安全な場所に保管されている原本のハッシュ値を比較し，マルウェアを検出する。
- エマルウェアの感染や発病によって生じるデータの読込みの動作，書込みの動作，通信などを監視して，マルウェアを検出する。
正解：エ
解説
ビヘイビア法（振る舞い検知）は，マルウェアの定義ファイル（シグネチャ）に依存せず，検査対象のプログラムやファイルが実際に動作した際に生じるデータの読込み・書込み，レジストリの変更，通信などの「振る舞い」を監視し，マルウェアに特徴的な異常な挙動を検出することでマルウェアを検出する手法です。未知のマルウェアや亜種の検出にも有効とされています。
選択肢ごとの解説
- ア誤り。特徴的なコードをパターン化したマルウェア定義ファイルと比較して検出する手法はパターンマッチング法（シグネチャ法）の説明であり，ビヘイビア法ではありません。
- イ誤り。感染していないことを保証する情報をあらかじめ付加し，不整合を検出する手法はインテグリティチェック法（コンペア法とは異なる完全性検証の一種）の説明であり，ビヘイビア法ではありません。
- ウ誤り。検査対象のハッシュ値と安全な場所に保管された原本のハッシュ値を比較する手法はコンペア法（チェックサム法）の説明であり，ビヘイビア法ではありません。
- エ正しい。マルウェアの感染や発病によって生じるデータの読込み・書込みの動作，通信などを監視して検出する手法がビヘイビア法です。