パターンマッチング法とは？ぱたーんまっちんぐほう
パターンマッチング法とは、既知のマルウェアから取り出した特徴的なバイト列（シグネチャ）を定義ファイルに持ち、検査対象と突き合わせて一致したものを検出する方式。判定が一致か不一致かで決まるので誤検知が少なく処理も軽い反面、定義に無い検体は原理的に見つけられない。IDSやIPSのシグネチャ検知も同じ考え方に立つ。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
マルウェアが数えられる程度しか無かった時代は、実物から取った特徴列を配って照合すれば足りた。この方式が今も残る理由は精度ではなく速度で、境界機器は通信を止めずに流れの中で検査するため、1パケットに使える時間がごく短い。振る舞いを見る方式は判定に時間と文脈が要り、インラインの検査には向かない。ネスペでは、境界機器の処理性能と検知方式のトレードオフとして問われる。
具体例
境界のUTMやIPSが数時間おきに定義ファイルを更新し、通過するメール添付やダウンロードを照合する。閉域網の拠点で更新用の経路を用意し忘れると、装置は動いているのに定義だけが古くなり、検出率が誰にも気づかれないまま落ちていく。更新経路の確保と、更新成否の監視までを設計に含める。
試験での引っ掛け
ビヘイビア法との対比で押さえる。パターンマッチング法は「何であるか」を照合するので未知に弱く、ビヘイビア法は「何をするか」を見るので未知に強い代わりに誤検知が増える。ポリモーフィック型は本体の見た目を毎回変えるため照合をすり抜ける。暗号化された通信の中身は、復号しない限りどちらの方式でも見えない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。