マルウェア検知方式（パターンマッチング・ビヘイビア法）とは？

マルウェア検知方式（パターンマッチング・ビヘイビア法）の意味

既知の特徴的なバイト列と照合する方式（パターンマッチング）、実行時の振る舞いから判断する方式（ビヘイビア法）、正常時のハッシュ値と比較して変化を見る方式（チェックサム法）などがある。未知の検体に対応するには、後二者や機械学習型の検知が必要となる。

マルウェア検知方式（パターンマッチング・ビヘイビア法）の具体例

パターン方式は誤検知が少ない代わりに定義ファイルの更新が命綱で、更新前の新種は素通りする。ビヘイビア法は「短時間に大量のファイルを暗号化する」といった挙動をとらえられるため、ランサムウェアの亜種にも反応できる。

マルウェア検知方式（パターンマッチング・ビヘイビア法）は試験でどう引っ掛けられる？

ビヘイビア法は誤検知が起きやすく、業務用のバッチ処理を止める事故がある。またチェックサム法は「正常時の値を記録した時点で既に感染していないこと」が前提で、導入手順を誤ると汚染された状態を正常として学習する。

マルウェア検知方式（パターンマッチング・ビヘイビア法）と関連する用語

• サンドボックスによる動的解析
• EDR・XDR
• ファイル完全性監視（FIM）

マルウェア検知方式（パターンマッチング・ビヘイビア法）が出た過去問

• ポリモーフィック型マルウェアの説明として、適切なものはどれか。

  正解：感染ごとにマルウェアのコードを異なる鍵で暗号化することによって、同一のパターンでは検知されないようにする。

  要点：ポリモーフィック型は感染ごとにコードを変えて検知を逃れる

  ポリモーフィック型マルウェアは、感染のたびに異なる鍵で自身のコードを暗号化するなどして見た目のバイト列を変える。これによりパターンマッチング方式のウイルス対策ソフトでは同一のシグネチャで検出できなくなるため、振る舞い検知などの手法が必要になる。

  出典：平成30年度 春期 応用情報技術者試験 午前 問39（IPA）