マルウェアの検出・解析と端末の対策

結論：検出方式は「何と比べるか」で見分ける

ウイルス検出方式は、何と何を比べて怪しいと判断するかで区別する。既知ウイルスの特徴と比べるのがパターンマッチング方式、プログラムの動きを見るのがビヘイビア法、正常なときの状態と比べるのがチェックサム法とコンペア法。試験ではこの説明文を入れ替えた4択が繰り返し出る。

補足：チェックサム法とコンペア法をまとめて、インテグリティチェック法（改ざん検出系の方式）と呼ぶ。インテグリティは「完全性（改ざんされていないこと）」という意味。

パターンマッチング方式：最頻出（本試験2回・免除4回）

パターンマッチング方式は、ウイルスごとの特徴的なコード列（シグネチャ）を集めた定義ファイルと、検査するファイルを照合する方式。指名手配写真と通行人の顔を見比べる警察官のようなもの。手配写真が無い相手（未知ウイルス）は見つけられないので、定義ファイルを常に最新にしておく必要がある。

コード列の長さと誤検出（免除で計2回）も覚えておく。

完全一致で照合する以上、コード列を長くしても亜種や未知ウイルスの検出が増えることはない。ここが正解とひっかけを分けるポイント。

ビヘイビア法：動きを見て判断する

ビヘイビア法（ビヘイビア＝振る舞い）は、検査対象を実行し、その挙動を監視して怪しいかどうかを判断する方式。本番環境で動かすと危ないため、メモリ上の仮想環境で動かすことが多い。データ書込みの異常や通信量の急増など、ウイルスが起こす異常な変化を手がかりにする。

特徴の照合ではなく動きを見るので、未知ウイルスも検出できる可能性があるのが強み。ただし、動きから「怪しい」と分かってもウイルス名までは特定できない（2012年度の過去問で、ウイルス名の特定に「確実」とする選択肢は誤り）。

ハッシュ値照合：検体と完全に同じファイルしか検知できない

ハッシュ値は、ファイルの中身から計算する固定長の値（例：SHA-256）。指紋のようなもので、1ビット違うだけでまったく別の値になる。

そのため、既知の検体のハッシュ値と照合して検知できるのは、検体と完全に同一のファイルだけ。特徴的なコード列が同じだけのもの、サイズが同じだけのもの、亜種は検知できない（免除で計5回出題）。「亜種かどうかを特定するのに確実」という選択肢も誤り。

マルウェア解析：静的解析と動的解析

検出したマルウェアが何をするのかを調べることを解析という。実行するかどうかで2種類に分かれる。

逆アセンブルは、バイナリ（機械語）の新種ウイルスが何をするかを解明するのに有効。試験では「逆コンパイル」「ハッシュ照合」を動的解析と思わせるひっかけが出る。実行しているかだけで判断すればよい。

サンドボックス・ハニーポット・EDR

どれも「怪しいものを見張る」仕組みだが、何を・どこで見張るかが違う。

サンドボックスは「検査対象のファイルを、運用中のシステムに影響させずに確認する隔離環境」。「侵入が可能かを確認する」と書いてあればペネトレーションテストなので誤り。

端末でやるべき基本の対策

ウイルスが OS やアプリケーションの脆弱性を突いて感染するのを防ぐには、修正パッチ（不具合や脆弱性を直す更新プログラム）を適切に適用する。これが正解の定番（本試験1回・免除2回）。

もう1つの正解パターンは「ソフトウェアを導入するときにウイルス検査を行う」（導入が感染の入口になり得るため）。

誤りの選択肢は次のとおり。

• 定義ファイルを更新した日時以降に作られたファイルだけをスキャンする → それより前から潜んでいるウイルスを見逃す
• 使わない TCP ポートを閉じてメール添付のウイルスを防ぐ → 添付ファイルは通常のメール通信で届くので防げない
• 動的グローバル IP アドレスを付けてワームを防ぐ → 対策にならない
• 感染が分かったら直ちにディスクを初期化してから管理者に連絡する → 証拠が消える。まず連絡する
• デバッグ機能を開発後も残す → むしろ悪用される入口になる