平成29年度 秋期 （特別措置試験） 問70

✓ これが正解ウプログラムの動きを常時監視し，意図しない外部への通信のような不審な動きを発見したときに，その動きを阻止する。

解説

動きそのものを見張り、怪しい振る舞いを見つけて止めます。

知られていない攻撃は、あらかじめ登録した特徴と照らし合わせる方法では見つけられません。特徴の一覧に、まだ載っていないからです。そこで、何であるかではなく、何をしているかを見ます。プログラムの動きを常に見張り、外へ勝手に通信を始める、次々とファイルを書き換える、起動のたびに動くよう自分を登録する、といった不審な動きを見つけたら、その場で止めます。これが振る舞い検知です。正体が分からなくても、やっていることが怪しければ止められるところが強みです。その代わり、正しいプログラムの動きを誤って止めてしまうこともあるので、止めた記録を人が確かめる運びもあわせて必要です。特徴を照らし合わせる方法と組み合わせて使うのが普通です。知られている攻撃は一覧で早く落とし、残りを動きで見る、という二段構えになります。

ほかの選択肢はなぜ違うのか

• アPCが一定時間，操作されていないことを検…：一定時間の操作がないことを見つけて、画面を暗くしたり別の画像を出したりするという肢です。席を離れたときの覗き見を防ぐ働きはありますが、見張っているのは人の操作であって、プログラムの動きではありません。見張る相手が人の操作です。
• イWebサイトにおいて，誤ったパスワードの…：誤ったパスワードの入力が続いたら、その利用者のアカウントを停止するという肢です。総当たりで破ろうとする動きへの備えで、数えているのは失敗の回数です。プログラムの振る舞いを見てはいません。知られた手口への備えにあたります。
• エ利用者がWebページに入力した内容に，処…：入力された内容に有害な文字列を見つけたら、無害な文字列に置き換えるという肢です。あらかじめ決めた危ない文字を打ち消す備えで、何が危ないかを先に知っている必要があります。未知には届きません。未知の攻撃には届きません。