平成30年度 秋期 （特別措置試験） 問84

✓ これが正解エそのマルウェアと同じハッシュ値のファイルを探す。

解説

中身から計算する値なので、名前を変えても同じままです。

ハッシュ値は、ファイルの中身から計算して得られる、決まった長さの短い値です。中身が一文字でも違えば、まったく別の値になります。逆に中身が同じであれば、名前を変えても、置き場所を変えても、同じ値になります。だから、同じファイルが他にもあるかを探すときの目印として使えます。見つかった端末で値を計算し、同じ値のファイルを他で探せば、名前を変えていても見つかります。攻撃する側は、気づかれにくくするために名前や拡張子をよく変えます。持ち主や権限の設定も、後からいくらでも変えられます。中身と結び付いているのは、計算して得た値のほうだけです。ただし、中身を少しでも書き換えられると値も変わるので、これだけで探し切れるわけではありません。残る三つは、どれも中身ではなく、外側に付けられた情報を手掛かりにしています。

ほかの選択肢はなぜ違うのか

• アそのマルウェアと同じアクセス権が設定され…：同じアクセス権が設定されているファイルを探すという肢です。アクセス権は、誰が読み書きしてよいかという設定で、後からいくらでも変えられます。中身と結び付いていないので、まったく無関係なファイルが大量に当たってしまいます。
• イそのマルウェアと同じ拡張子をもつファイル…：同じ拡張子をもつファイルを探すという肢です。拡張子は名前の末尾に付ける印にすぎず、書き換えても中身は変わりません。攻撃する側は、気づかれにくくするためにここを変えてきます。同じ拡張子の無害なファイルも山ほどあります。
• ウそのマルウェアと同じ所有者のファイルを探…：同じ所有者のファイルを探すという肢です。所有者は、そのファイルを作った利用者や仕組みを示す情報で、これも後から変えられます。同じ利用者が作った無関係なファイルまで含まれてしまい、絞り込みになりません。中身と結び付いた情報ではありません。