ビヘイビア法とは？

ビヘイビア法の意味

プログラムの挙動（ファイルの改ざんや不審な通信など）を監視し、マルウェアらしい振る舞いを検出する方式。既知のパターンに依存しないため、未知のマルウェアにも対応しやすい。

ビヘイビア法の具体例

実行中のプログラムが突然システムの重要ファイルを大量に暗号化し始めた挙動を検知し、ランサムウェアの可能性があるとして強制停止する。

ビヘイビア法は試験でどう引っ掛けられる？

パターンマッチング方式と逆で、既知の定義ファイルに依存しないのが分岐点。未知のマルウェアに強い代わりに、正常なプログラムを不正と判断する誤検知が起きやすい。またサンドボックスは「どこで動かすか」の隔離環境、ビヘイビア法は「何を見て判断するか」の検出方式で、比べている軸が違う。

ビヘイビア法と関連する用語

• パターンマッチング方式
• サンドボックス
• EDR

ビヘイビア法が出た過去問

• ウイルス検出におけるビヘイビア法に分類されるものはどれか。

  正解：検査対象をメモリ上の仮想環境下で実行して、その挙動を監視する。

  要点：ビヘイビア法は実行時の挙動を監視して検出する

  ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして挙動を観察し、不審な動作をもってウイルスと判断する方法である。サンドボックスと呼ばれる隔離された仮想環境で実行し、レジストリの改変や外部への通信などを監視する。パターンファイルを持たない未知のウイルスにも対応できる点が長所で、既知の特徴と照合するパターンマッチング法とは発想が異なる。

  出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18（IPA）

• ゼロデイ攻撃の特徴はどれか。

  正解：脆弱性に対してセキュリティパッチが提供される前に当該脆弱性を悪用して攻撃する。

  要点：ゼロデイ攻撃はパッチ提供前の空白期間を突く攻撃

  ゼロデイ攻撃とは、脆弱性が判明してから修正プログラムが提供されるまでの無防備な期間を突く攻撃である。パッチが存在しないため、パッチ適用による根本対策が取れず、多層防御や振る舞い検知、緩和策の適用といった対応が必要になる。攻撃の手口ではなく「対策が間に合っていない時点で突く」というタイミングが本質である。

  出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問13（IPA）

• マルウェアの検出方法のうち，検査対象のプログラムを実行する必要があるものはどれか。

  正解：ビヘイビア法

  要点：ビヘイビア法だけは実際に動かして振る舞いから判定する

  ビヘイビア法は、検査対象のプログラムを隔離した環境などで実際に動かし、レジストリの書換えや不審な通信といった振る舞いを観察して悪意の有無を判定する方法です。実行しなければ挙動は分からないため、この手法だけが実行を必要とします。他の方法はファイルの内容を静的に調べます。

  出典：令和6年度 （公開問題） 情報セキュリティマネジメント試験 kamokuAB 問3（IPA）