サンドボックスとは？

サンドボックスの意味

疑わしいプログラムやファイルを、実際の業務環境から隔離された仮想的な領域で動作させ、その挙動を安全に観察する仕組み。未知のマルウェアかどうかを実行結果から判断できる。

サンドボックスの具体例

添付ファイル付きのメールを受信すると、メールサーバがまず添付ファイルをサンドボックス上で実行し、不審な挙動が無いことを確認してから利用者に届ける。

サンドボックスは試験でどう引っ掛けられる？

隔離した環境で実際に動かして観察する点が、定義ファイルと照合するパターンマッチング方式との分岐点。ただし万能ではなく、解析環境だと気づくと無害な動作しかしない「サンドボックス回避」型のマルウェアがある。DMZ（公開サーバを置くネットワーク区画）とも別物。

サンドボックスと関連する用語

• ビヘイビア法

サンドボックスが出た過去問

• ウイルス検出におけるビヘイビア法に分類されるものはどれか。

  正解：検査対象をメモリ上の仮想環境下で実行して、その挙動を監視する。

  要点：ビヘイビア法は実行時の挙動を監視して検出する

  ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして挙動を観察し、不審な動作をもってウイルスと判断する方法である。サンドボックスと呼ばれる隔離された仮想環境で実行し、レジストリの改変や外部への通信などを監視する。パターンファイルを持たない未知のウイルスにも対応できる点が長所で、既知の特徴と照合するパターンマッチング法とは発想が異なる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18（IPA）

• マルウェアの動的解析に該当するものはどれか。

  正解：サンドボックス上で検体を実行し，その動作や外部との通信を観測する。

  要点：動的解析は検体を実際に動かして挙動を観測する

  動的解析は、検体を実際に実行させてその挙動を観測する手法で、隔離されたサンドボックス環境でファイル操作やレジストリ変更、外部との通信を記録する。コードを読んで機能を調べる静的解析や、ハッシュ値による既知検体の照合とは区別される。

  出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問23（IPA）

• マルウェアの動的解析に該当するものはどれか。

  正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。

  要点：動的解析は隔離環境で実行し挙動を観測する手法

  動的解析は、マルウェアを実際に隔離環境で実行し、ファイル操作やレジストリ変更、外部通信などの挙動を観測して機能を把握する手法である。実行せずにコードやハッシュ値を調べる静的解析と対になる考え方で、難読化された検体でも実際の振る舞いをつかめる利点がある。

  出典：令和1年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）

• マルウェアの動的解析に該当するものはどれか。

  正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。

  要点：動的解析は実行して挙動を観測、静的解析は実行しない

  動的解析とは、検体を実際に実行させてその振る舞いを観測する手法であり、隔離されたサンドボックス上で行うのが一般的である。ファイル操作やレジストリ変更、外部との通信先などが直接分かるため、難読化された検体でも実挙動を把握できる。これに対し、実行せずにコードや特徴を調べるのが静的解析である。

  出典：令和4年度 s 情報セキュリティマネジメント試験 kamokuAB 問29（IPA）