マルウェア検知方式（パターンマッチング・ビヘイビア法）とは？

マルウェア検知方式（パターンマッチング・ビヘイビア法）の意味

既知の特徴的なバイト列と照合する方式（パターンマッチング）、実行時の振る舞いから判断する方式（ビヘイビア法）、正常時のハッシュ値と比較して変化を見る方式（チェックサム法）などがある。未知の検体に対応するには、後二者や機械学習型の検知が必要となる。

マルウェア検知方式（パターンマッチング・ビヘイビア法）の具体例

パターン方式は誤検知が少ない代わりに定義ファイルの更新が命綱で、更新前の新種は素通りする。ビヘイビア法は「短時間に大量のファイルを暗号化する」といった挙動をとらえられるため、ランサムウェアの亜種にも反応できる。

マルウェア検知方式（パターンマッチング・ビヘイビア法）は試験でどう引っ掛けられる？

ビヘイビア法は誤検知が起きやすく、業務用のバッチ処理を止める事故がある。またチェックサム法は「正常時の値を記録した時点で既に感染していないこと」が前提で、導入手順を誤ると汚染された状態を正常として学習する。

マルウェア検知方式（パターンマッチング・ビヘイビア法）と関連する用語

• サンドボックスによる動的解析
• EDR・XDR
• ファイル完全性監視（FIM）

マルウェア検知方式（パターンマッチング・ビヘイビア法）が出た過去問

• ウイルス検出におけるビヘイビア法に分類されるものはどれか。

  正解：検査対象をメモリ上の仮想環境下で実行して，その挙動を監視する。

  要点：ビヘイビア法は実際に動かして挙動から判定し未知にも効く

  ビヘイビア法は、検査対象を隔離した仮想環境で実際に動かし、その振る舞いを観察して不正な動作の有無から判断する検出方式である。パターンファイルに載っていない未知のマルウェアにも対応できる点が長所となる。ハッシュ値や原本との比較は、既知の情報と突き合わせる別方式である。

  出典：平成28年度 秋期 基本情報技術者試験 午前 問43（IPA）