ビヘイビア法とは？

ビヘイビア法の意味

プログラムを実際に（多くは仮想環境で）動作させ、レジストリの改変、大量のファイル暗号化、外部への不審な通信といった挙動を監視して感染を検出する方式。未知のマルウェアも検出できる可能性がある。

ビヘイビア法の具体例

サンドボックス内で添付ファイルを実行し、外部C2サーバへの通信を試みたら悪性と判定する。

ビヘイビア法は試験でどう引っ掛けられる？

既知のパターンと照合するのはパターンマッチング法（シグネチャ法）。チェックサムを比べて改変を検知するのはコンペア法／チェックサム法。

ビヘイビア法と関連する用語

• ポリモーフィック型マルウェア
• サンドボックス

ビヘイビア法が出た過去問

• ウイルスの検出手法であるビヘイビア法を説明したものはどれか。

  正解：ウイルスの感染や発病によって生じるデータの読込みと書込み動作や通信などを監視して、感染を検出する。

  要点：ビヘイビア法は実際の挙動を監視して感染を検出する

  ビヘイビア法（振る舞い検知）は、検査対象を実際に動作させ、ファイルの読み書きやレジストリの変更、外部への通信といった挙動を監視して、ウイルスに特徴的な動作が現れたら感染と判断する手法である。定義ファイルに載っていない未知のウイルスにも対応できる点が長所である。

  出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問16（IPA）

• マルウェアの検出手法であるビヘイビア法を説明したものはどれか。

  正解：マルウェアへの感染によって生じるデータの読込みの動作、書込みの動作、通信などを監視して、マルウェアを検出する。

  要点：ビヘイビア法は実際の挙動を監視して未知のマルウェアも検出する

  ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして、ファイルの読み書き、レジストリの変更、外部への通信といった挙動を監視し、マルウェア特有の動きが見られたら検出する手法である。パターンファイルに載っていない未知のマルウェアにも対応できる反面、誤検知が生じやすい。

  出典：令和6年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問20（IPA）