ビヘイビア法とは？びへいびあほう
ビヘイビア法とは、プログラムを実際に動かしながら、その振る舞い――重要ファイルの連続書き換え、設定の改変、外部への不審な通信など――を監視して不正と判断する検出方式。既知のパターンと照合しないため、定義ファイルが未対応の新種にも反応できる。振る舞い検知ともいう。
最終更新：2026-10-06
この語が出る過去問を解く →背景
従来のパターンマッチング法は、検体を入手して特徴を抽出し、定義ファイルを配布して初めて検出できる。攻撃側が少し書き換えるだけで別物になり、亜種の量産と自動生成が進んだ結果、この後追いでは間に合わなくなった。そこで「何であるか」ではなく「何をしたか」で判断する方式が求められた。ファイルを次々に暗号化していくランサムウェアのように、行動が特徴的な脅威には特に有効である。
具体例
Microsoft Defender for EndpointやCrowdStrikeなどのEDR製品は、端末の操作履歴を継続的に記録し、ファイルの一括暗号化のような一連の振る舞いを検知して隔離や巻き戻しを行う。実行してよいか判断がつかない検体を、あらかじめ隔離環境で試しに動かすサンドボックスと組み合わせて使われる。
試験での引っ掛け
パターンマッチング法と見ている対象が逆で、こちらは定義ファイルに依存しない。その代わり正常な業務プログラムを不正と判断する誤検知（フォールスポジティブ）が起きやすい。またサンドボックスは「どこで動かすか」という隔離環境、ビヘイビア法は「何を見て判断するか」という検出方式で、比べている軸が違う。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問18（IPA）
ウイルス検出におけるビヘイビア法に分類されるものはどれか。
正解：検査対象をメモリ上の仮想環境下で実行して、その挙動を監視する。
要点：ビヘイビア法は実行時の挙動を監視して検出する
ビヘイビア法（振る舞い検知）は、検査対象を実際に動かして挙動を観察し、不審な動作をもってウイルスと判断する方法である。サンドボックスと呼ばれる隔離された仮想環境で実行し、レジストリの改変や外部への通信などを監視する。パターンファイルを持たない未知のウイルスにも対応できる点が長所で、既知の特徴と照合するパターンマッチング法とは発想が異なる。
出典：令和6年度 公開問題 情報セキュリティマネジメント試験 科目A・B 問3（IPA）
マルウェアの検出方法のうち，検査対象のプログラムを実行する必要があるものはどれか。
正解：ビヘイビア法
要点：ビヘイビア法だけは実際に動かして振る舞いから判定する
ビヘイビア法は、検査対象のプログラムを隔離した環境などで実際に動かし、レジストリ（Windowsの設定情報の保管場所）の書換えや不審な通信といった振る舞いを観察して悪意の有無を判定する方法です。実行しなければ挙動は分からないため、この手法だけが実行を必要とします。他の方法はファイルの内容を静的に調べます。
出典・参考
公式シラバスの1 技術要素 ＞ 4 情報セキュリティ対策 ＞ 技術的セキュリティ対策に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。