平成23年度 特別 情報セキュリティスペシャリスト試験 午前Ⅱ 問10

✓ これが正解ア逆アセンブルは，バイナリコードの新種ウイルスの動作を解明するのに有効な手法である。

解説

逆アセンブルは、新種ウイルスの動作を解明するのに有効です。

新種のウイルスは、まだ定義ファイルに登録されていないので、既知の情報と照らし合わせるだけでは正体が分かりません。そこで、ウイルスの実体であるバイナリコード、つまり機械語の並びを、人が読める命令の形に戻して中身を読み解きます。この作業が逆アセンブルです。どの命令がどの順で実行されるかを追えるので、ウイルスが何をしようとしているのかを具体的に解明できます。見分ける軸は、その手法が検知のためのものか、動作の解明のためのものかと、その結果がどこまで確実に言えるかの二つです。調査の場面で動作を解き明かす手法として、逆アセンブルは有効です。

ほかの選択肢はなぜ違うのか

• イパターンマッチングでウイルスを検知する方…：文書が暗号化されていると、中のマクロのコードが見えないので、パターンを照らし合わせても一致しません。そもそもパターンマッチングは既知のものを見つける検知の方式で、動作の解明には向きません。
• ウファイルのハッシュ値を基にウイルスを検知…：ハッシュ値は、元のファイルがわずか1ビット違うだけで全く別の値になります。亜種は元のウイルスを少し書き換えたものなので、ハッシュ値からどのウイルスの亜種かを特定することはできません。
• エ不正な動作からウイルスを検知する方式は，…：不正な動作から検知する方式は、怪しい振る舞いがあることは分かっても、それがどの名前のウイルスによるものかまでは確実には分かりません。名前の特定には別の手段を使います。