令和元年度 秋期 午前 問36

✓ これが正解イ検体をサンドボックス上で実行し，その動作や外部との通信を観測する。

解説

隔離した環境で実際に動かし、振る舞いを見るやり方です。

怪しい検体の調べ方は、大きく二つに分かれます。一つは動かさずに中身だけを調べるやり方です。もう一つは、隔離した環境で実際に動かし、何をするかを見るやり方です。問われている動的解析は後者で、動かすことが名前の由来です。外へどんな通信をするか、どのファイルを触るかといった振る舞いが分かります。動かさない調べ方では、隠された仕掛けが眠ったままで見つからないことがあります。一方、動かす調べ方には、周りへ被害を出さない環境が欠かせません。サンドボックスと呼ぶ隔離した箱で走らせるのは、そのための備えです。検体が調べられていることに気づいて、おとなしく振る舞う場合もあります。だからこの二つは、どちらかだけでなく組み合わせて使われます。外へ本当に出て行かない仕掛けも必要です。観察できる時間にも限りがあります。

ほかの選択肢はなぜ違うのか

• ア検体のハッシュ値を計算し，オンラインデー…：検体から求めた要約値を、既に知られている一覧と照らす調べ方です。動かしていないので、振る舞いを見る方法にはあたりません。既知のものを速く見分けるのに向いた手です。少しでも書き換えられると、まったく違う値になってしまいます。
• ウ検体をネットワーク上の通信データから抽出…：取り出した検体を読める形へ戻し、中身の指示を読み解く調べ方です。手間はかかりますが、隠された仕掛けまで見つけられることがあります。これも動かさずに行う調べ方の一つです。読みにくくする細工が施されていることもあります。
• エハードディスク内のファイルの拡張子とファ…：名前の末尾と中身の先頭を照らして、偽装を見つける調べ方です。保存されているものを調べるだけで、動かしてはいません。見分けの手がかりが形式の食い違いにある点が特徴です。中身を開かずに、見出しの並びだけで判断しています。