ビヘイビア法とは？びへいびあほう
ビヘイビア法とは、検体を隔離した環境で実際に動かし、レジストリの書き換え、短時間での大量ファイル暗号化、外部への不審な接続といった動作そのものを根拠に悪性かどうかを判定する方式。既知のパターンを持たない未知の検体でも検出できる可能性がある点が最大の利点になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パターンマッチングは、検体が採取されて定義ファイルが配布されるまで無力で、亜種を自動生成されると追いつけない。一方、マルウェアが目的を達するには必ず何かをする——鍵を掛ける、情報を外へ送る、権限を上げる——という点は攻撃側にも変えにくい。変えにくいほうを見張るのがこの方式の発想で、検出の根拠を「見た目」から「やったこと」へ移している。
具体例
Microsoft Defender for Office 365は添付ファイルを隔離環境で実行し、外部のC2サーバへ接続を試みた時点で悪性と判定する。ネットワーク側では、この判定に要する数分間、配送を保留するのか、いったん通してから隔離するのかが設計の分かれ目になる。
試験での引っ掛け
判定の根拠で切り分ける。既知のパターンと突き合わせるのはパターンマッチング法（シグネチャ法）、原本のハッシュ値と比べて改変を見るのはコンペア法（チェックサム法）、実際に動かして挙動を見るのがビヘイビア法である。「未知に対応できるか」で選ばせる出題が多い。
関連用語
出た過去問
出典：平成29年度 秋期 ネットワークスペシャリスト試験 午前Ⅱ 問16（IPA）
ウイルスの検出手法であるビヘイビア法を説明したものはどれか。
正解：ウイルスの感染や発病によって生じるデータの読込みと書込み動作や通信などを監視して、感染を検出する。
要点：ビヘイビア法は実際の挙動を監視して感染を検出する
ビヘイビア法（振る舞い検知）は、検査対象を実際に動作させ、ファイルの読み書きやレジストリの変更、外部への通信といった挙動を監視して、ウイルスに特徴的な動作が現れたら感染と判断する手法である。定義ファイルに載っていない未知のウイルスにも対応できる点が長所である。
出典：令和6年度 春期 ネットワークスペシャリスト試験 午前Ⅱ 問20（IPA）
マルウェアの検出手法であるビヘイビア法を説明したものはどれか。
正解：マルウェアへの感染によって生じるデータの読込みの動作、書込みの動作、通信などを監視して、マルウェアを検出する。
要点：ビヘイビア法は実際の挙動を監視して未知のマルウェアも検出する
ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして、ファイルの読み書き、レジストリの変更、外部への通信といった挙動を監視し、マルウェア特有の動きが見られたら検出する手法である。パターンファイルに載っていない未知のマルウェアにも対応できる反面、誤検知が生じやすい。
出典・参考
高度試験 午前I（高度午前I 相当）のシラバスの3 技術要素 ＞ 4. 情報セキュリティ対策 ＞ (1) 情報セキュリティ対策の種類に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。