ルートキットとは？るーときっと
ルートキットとは、侵入後の痕跡を隠すために、OSの中核部分やAPIの応答を書き換え、自分のプロセス・ファイル・通信・ログを一覧から消してしまうツール群。本体の目的は破壊や窃取ではなく隠蔽で、管理者が正規の手段で調べても異常が見えないため、潜伏が長期化する。
最終更新：2026-10-06
この語が出る過去問を解く →背景
侵入の検知は長く「見えているおかしなプロセスを探す」ことが中心だった。攻撃者側が短期の破壊から長期の居座りへ目的を移すと、検知の目であるOSの機能そのものを汚す方向に進み、観測の土台が信用できなくなった。支援士では、インシデント対応で「どの道具の出力なら証拠として使えるか」という保全の考え方を問うために出る。
具体例
MicrosoftのWindows Defenderオフラインは、Windowsを起動しない回復環境から検査する仕組みで、稼働中のOSに問い合わせないため応答を改変されていても結果が汚染されない。起動そのものを守る側では、UEFIのセキュアブートやIntel Boot Guardが、署名を検証して不正なブートコードの読み込みを止める。
試験での引っ掛け
稼働中の端末でpsやtasklistの結果を見て「異常なし」と判断するのが典型の落とし穴で、OS上の道具の出力は根拠にならない。調査は外部媒体からの起動か、ディスクイメージを別環境で解析する形に切り替える。ブートローダやファームウェアに潜むブートキットはOSの再インストールでも残るため、対処の範囲が変わる。
関連用語
出た過去問
出典：平成28年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問12（IPA）
rootkitの特徴はどれか。
正解：OSなどに不正に組み込んだツールを隠蔽する。
要点：rootkitは侵入後の痕跡を隠蔽するツール群
rootkitは、侵入後に設置した不正なプログラムやプロセス、通信、ログなどの痕跡を隠蔽し、侵入者が管理者権限で継続的にアクセスできるようにするツール群です。OSのコマンドやカーネルを改変して検出を逃れる点が特徴です。
出典：平成30年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問15（IPA）
ルートキットの特徴はどれか。
正解：OSなどに不正に組み込んだツールを隠蔽する。
要点：ルートキットは侵入の痕跡と不正ツールをOSごと隠す
ルートキットは、攻撃者が侵入後に設置するバックドアや不正プロセス、ファイル、通信の痕跡をOSの機能を改変して見えなくする一連のツール群である。プロセス一覧やファイル一覧を返すAPIやカーネルの処理に介入するため、感染したOS上から通常の手段で発見するのは難しい。検出には外部媒体からの起動やメモリフォレンジックなど、対象OSに依存しない手法が必要になる。
出典：令和3年度 秋期 情報処理安全確保支援士試験 午前Ⅱ 問14（IPA）
ルートキットの特徴はどれか。
正解：OSなどに不正に組み込んだツールの存在を隠す。
要点：ルートキットは侵入の痕跡と不正ツールをOSごと隠す
ルートキットは、侵入後に設置したバックドアや不正なプロセス、ファイル、通信の痕跡を、OSの機能を改変することで見えなくする一連のツール群である。プロセス一覧やファイル一覧を返す仕組みに介入するため、感染したOS上から通常の手段で発見するのは難しい。検出には外部媒体からの起動やメモリの解析など、対象OSに依存しない手法が必要となる。
出典・参考
公式シラバスの3 技術要素 ＞ 1. 情報セキュリティ ＞ (3) 脅威に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。