サンドボックスとは？さんどぼっくす
サンドボックスとは、疑わしいプログラムやファイルを、業務環境から切り離した専用の領域で実際に動かし、その振る舞いを観察する仕組み。定義ファイルに載っていない未知のマルウェアでも、外部への通信や設定の変更といった動きから判断できる。標的型メールの添付ファイル検査などで使われる。
最終更新：2026-10-06
この語が出る過去問を解く →背景
パターンマッチング方式のマルウェア対策は、すでに知られている検体としか照合できない。攻撃側が少し作り変えるだけで一致しなくなり、標的を絞った攻撃では世界に一つしかない検体が使われる。そもそも既知になっていないものをどう見分けるかという問いに対し、「知識と照合する」のをやめて「実際に動かして結果を見る」方向へ切り替えたのがこの手法である。
具体例
メールの添付ファイルをいったん隔離した環境で開き、外部への通信や設定の書き換えといった不審な挙動が無いことを確かめてから受信者へ届ける構成が代表的。Webブラウザや文書ソフトにも、開いた内容をOS本体から隔離して動かす保護モードが備わっている。
試験での引っ掛け
定義ファイルとの照合ではなく実際に動かして観察する点が、パターンマッチング方式との分岐点になる。ただし万能ではなく、解析環境だと気づくと無害な動作しかしない、時間を置いてから活動を始めるといった回避型のマルウェアがある。公開サーバを置くネットワーク区画であるDMZとも別物で、同じ「隔離」でも目的が違う。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18（IPA）解説で登場
ウイルス検出におけるビヘイビア法に分類されるものはどれか。
正解：検査対象をメモリ上の仮想環境下で実行して、その挙動を監視する。
要点：ビヘイビア法は実行時の挙動を監視して検出する
ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして挙動を観察し、不審な動作をもってウイルスと判断する方法である。サンドボックスと呼ばれる隔離された仮想環境で実行し、レジストリの改変や外部への通信などを監視する。パターンファイルを持たない未知のウイルスにも対応できる点が長所で、既知の特徴と照合するパターンマッチング法とは発想が異なる。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問23（IPA）
マルウェアの動的解析に該当するものはどれか。
正解：サンドボックス上で検体を実行し，その動作や外部との通信を観測する。
要点：動的解析は検体を実際に動かして挙動を観測する
動的解析は、検体を実際に実行させてその挙動を観測する手法で、隔離されたサンドボックス環境でファイル操作やレジストリ変更、外部との通信を記録する。コードを読んで機能を調べる静的解析や、ハッシュ値による既知検体の照合とは区別される。
出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）
マルウェアの動的解析に該当するものはどれか。
正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
要点：動的解析は隔離環境で実行し挙動を観測する手法
動的解析は、マルウェアを実際に隔離環境で実行し、ファイル操作やレジストリ変更、外部通信などの挙動を観測して機能を把握する手法である。実行せずにコードやハッシュ値を調べる静的解析と対になる考え方で、難読化された検体でも実際の振る舞いをつかめる利点がある。
出典：令和4年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問29（IPA）
マルウェアの動的解析に該当するものはどれか。
正解：検体をサンドボックス上で実行し、その動作や外部との通信を観測する。
要点：動的解析は実行して挙動を観測、静的解析は実行しない
動的解析とは、検体を実際に実行させてその振る舞いを観測する手法であり、隔離されたサンドボックス上で行うのが一般的である。ファイル操作やレジストリ変更、外部との通信先などが直接分かるため、難読化された検体でも実挙動を把握できる。これに対し、実行せずにコードや特徴を調べるのが静的解析である。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。