サンドボックスとは？さんどぼっくす
サンドボックスとは、隔離した仮想環境で検体を実際に動かし、通信先やファイル操作、レジストリ変更といった挙動から悪性かどうかを判定する仕組み。外部へ影響を出さずに実行できるため、シグネチャの無い未知の検体についても判断材料を得られる点が導入の理由になる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パターンマッチによる検知は、既知の検体と特徴が一致する場合しか働かない。攻撃者は自動生成で亜種を量産し、標的ごとに違うファイルを送るため、既知かどうかで判定する方法だけでは追いつかなくなった。ファイルの見た目ではなく実行したときの振る舞いで判断する方向へ移ったのがこの仕組みで、判定に時間がかかるという弱点と引き換えになっている。
具体例
メールゲートウェイやプロキシで添付ファイルを自動的に投入し、判定が出るまで配送を保留する構成が一般的。解析の現場ではCuckoo Sandboxのような解析基盤や、公開サービスのVirusTotalが同種の動的解析の結果を提供している。
試験での引っ掛け
検体側に回避手段がある。仮想環境特有の痕跡を調べて動作を止める、一定時間や再起動まで待つ、特定の言語設定や利用者の操作がある環境でしか発症しない、など。無害という判定は安全の証明ではなく、実行環境側の防御と併用する前提になる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成29年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問16（IPA）
サンドボックスの仕組みに関する記述のうち，適切なものはどれか。
正解：プログラムの影響がシステム全体に及ばないように，プログラムが実行できる機能やアクセスできるリソースを制限して動作させる。
要点：サンドボックスは実行を隔離し影響を封じ込める
サンドボックスは、プログラムを隔離した環境で動かし、利用できる機能やアクセスできる資源を制限する仕組みです。不審なプログラムを実行しても、その影響がシステム全体に及ばないため、未知のマルウェアの挙動解析にも使われます。
出典：令和3年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問13（IPA）解説で登場
マルウェアの検出手法であるビヘイビア法を説明したものはどれか。
正解：マルウェアの感染や発病によって生じるデータの読込みの動作,書込みの動作,通信などを監視して,マルウェアを検出する。
要点：ビヘイビア法は実際の挙動を監視して未知の脅威も検出
ビヘイビア法（動的ヒューリスティック法）は、検査対象を実際に動作させて、ファイルの読み書きや通信、レジストリ操作といった振る舞いを監視し、マルウェア特有の挙動を見つけたら検出する手法である。パターンファイルに登録のない未知のマルウェアにも対応できる反面、正当なプログラムを誤検知する可能性がある。サンドボックス上で実行して観察する方式もこれに含まれる。
出典・参考
公式シラバスの3 技術要素 ＞ 5. セキュリティ実装技術 ＞ (7) マルウェア解析に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。