マルウェア検知手法とは？

マルウェア検知手法の意味

シグネチャ（既知検体の特徴）と照合するパターンマッチング法、実際の挙動を監視して不正な動作を判断するビヘイビア法、原本と比較するコンペア法、ハッシュや検査値で改変を検出するチェックサム法（インテグリティチェック法）がある。

マルウェア検知手法の具体例

未知の標的型検体がシグネチャに一致せず素通りした。そこで、短時間に大量のファイルを暗号化する動作を捉えるビヘイビア法と、重要な設定ファイルのハッシュを日次で比較するチェックサム法を併用し、既知・未知の双方を多層で拾う構成にした。

マルウェア検知手法は試験でどう引っ掛けられる？

未知のマルウェアに対応できるのはビヘイビア法。パターンマッチング法は既知検体にしか効かない。

マルウェア検知手法と関連する用語

• サンドボックス
• EDR
• ファイルレスマルウェア

マルウェア検知手法が出た過去問

• ウイルス検出におけるビヘイビア法に分類されるものはどれか。

  正解：検査対象をメモリ上の仮想環境下で実行して、その挙動を監視する。

  要点：ビヘイビア法は実行時の挙動を監視して検出する

  ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして挙動を観察し、不審な動作をもってウイルスと判断する方法である。サンドボックスと呼ばれる隔離された仮想環境で実行し、レジストリの改変や外部への通信などを監視する。パターンファイルを持たない未知のウイルスにも対応できる点が長所で、既知の特徴と照合するパターンマッチング法とは発想が異なる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18（IPA）

• マルウェアの検出方法のうち，検査対象のプログラムを実行する必要があるものはどれか。

  正解：ビヘイビア法

  要点：ビヘイビア法だけは実際に動かして振る舞いから判定する

  ビヘイビア法は、検査対象のプログラムを隔離した環境などで実際に動かし、レジストリの書換えや不審な通信といった振る舞いを観察して悪意の有無を判定する方法です。実行しなければ挙動は分からないため、この手法だけが実行を必要とします。他の方法はファイルの内容を静的に調べます。

  出典：令和6年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問3（IPA）