令和4年度 秋期 午前Ⅱ 問19

✓ これが正解エマルウェアへの感染によって生じるデータの読込みの動作，書込みの動作，通信などを監視して，マルウェアを検出する。

解説

ビヘイビア法は、マルウェアの動作を監視して検出する手法です。

ビヘイビア法は、プログラムを実際に動かしたときのふるまいを監視して、マルウェアを検出する手法です。ファイルの読込みや書込み、ネットワークへの通信など、マルウェアに感染したときに見られる特徴的な動作を捉え、疑わしいものを検出します。コードの特徴ではなく動作に注目するので、パターンとして登録されていない未知のマルウェアや、見た目を変えた亜種でも、ふるまいが似ていれば見つけられる可能性があります。見分ける軸は、何を手掛かりに検出するかです。登録したパターン、付加した情報、原本との比較、そして動作の監視と並べたとき、ビヘイビアはふるまいという意味なので動作の監視と結び付きます。

ほかの選択肢はなぜ違うのか

• アあらかじめ特徴的なコードをパターンとして…：特徴的なコードをパターンとしてマルウェア定義ファイルに登録し、検査対象と比べて一致すれば検出するのは、パターンマッチング法の説明です。登録済みのものを見つけるのに向く手法で、動作を手掛かりにする手法とは異なります。
• イマルウェアに感染していないことを保証する…：感染していないことを保証する情報をあらかじめ検査対象に付けておき、検査時に不整合があれば検出する方法の説明です。改ざんの有無を確かめる考え方であり、マルウェアが動いたときの様子を監視する手法とは別のものです。
• ウマルウェアへの感染が疑わしい検査対象のハ…：疑わしい検査対象のハッシュ値と、安全な場所に保管した原本のハッシュ値を比べて検出する方法の説明です。原本との違いから感染を見つける考え方で、実行時の読込みや書込み、通信の動作を監視する手法とは手掛かりが違います。