ビヘイビア法とは？

ビヘイビア法の意味

プログラムを実行し、その振る舞い（ファイル書換え、通信の発生、レジストリ変更など）を監視して異常を判定することでマルウェアを検出する手法。パターンファイルに無い未知の脅威も検出できる可能性がある。

ビヘイビア法の具体例

実行直後に多数のファイルを次々と暗号化し始める挙動を検知して停止させる。

ビヘイビア法は試験でどう引っ掛けられる？

既知のパターンと照合するのはパターンマッチング法。ビヘイビア法は挙動を見る点で異なる。

ビヘイビア法と関連する用語

• サンドボックス

ビヘイビア法が出た過去問

• ウイルスの検出手法であるビヘイビア法を説明したものはどれか。

  正解：ウイルスの感染や発病によって生じるデータ書込み動作の異常や通信量の異常増加などの変化を監視して,感染を検出する。

  要点：ビヘイビア法は動作の異常を監視して未知のウイルスも検出する

  ビヘイビア法は、プログラムの振る舞いそのものを監視してウイルスを検出する手法である。既知のパターンに依存せず、不審なファイル書込みやレジストリ操作、通信量の異常増加といった動作の変化から感染を判断するため、未知のウイルスにも対応しやすい。反面、正常な動作を誤検知する可能性がある。

  出典：平成28年度 春期 システム監査技術者試験 am2 問20（IPA）

• マルウェアの検出手法であるビヘイビア法を説明したものはどれか。

  正解：マルウェアの感染や発病によって生じるデータの読込みと書込みの動作や通信などを監視して,マルウェアを検出する。

  要点：ビヘイビア法は動作の監視で未知のマルウェアも検出する

  ビヘイビア法は、検体の振る舞いを監視して不正の兆候を判断する検出手法である。既知のパターンに依存せず、不審な読み書きや外部通信といった動作の異常からマルウェアを見つけるため、未知の検体にも対応しやすい。反面、正常な動作を誤って検出する可能性がある。

  出典：令和1年度 春期 システム監査技術者試験 am2 問21（IPA）

• マルウェアの検出手法であるビヘイビア法を説明したものはどれか。

  正解：マルウェアへの感染によって生じるデータの読込みの動作、書込みの動作、通信などを監視して、マルウェアを検出する。

  要点：ビヘイビア法は実際の挙動を監視して未知のマルウェアも検出する

  ビヘイビア法（動的ヒューリスティック法）は、検査対象を実際に動かして、ファイルの読み書き、レジストリの改変、外部への通信といった挙動を監視し、マルウェアらしい振る舞いを検出する手法である。既知のパターンに依存しないため未知のマルウェアにも対応できるが、正常な処理を誤検知する可能性がある点が課題となる。

  出典：令和4年度 秋期 システム監査技術者試験 am2 問19（IPA）