ゆめさくエンジニア研究所女性向けエンジニアスクール女性向けエンジニアスクール
ログイン

問22 マルウェアの動的解析

情報セキュリティ​マネジメント試験 令和元年度 秋期 午前、全50問のうちの問22。

出典：令和元年度 秋期 情報セキュリティマネジメント試験 午前 問22

マルウェアの動的解析に該当するものはどれか。

  1. ア検体のハッシュ値を計算し，オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。
  2. イ検体をサンドボックス上で実行し，その動作や外部との通信を観測する。
  3. ウ検体をネットワーク上の通信データから抽出し，さらに，逆コンパイルして取得したコードから検体の機能を調べる。
  4. エハードディスク内のファイルの拡張子とファイルヘッダの内容を基に，拡張子が偽装された不正なプログラムファイルを検出する。
答えと解説を開く

正解はイです。

マルウェアの解析には、動かさずに調べる静的解析と、実際に動かして調べる動的解析があります。動的解析では、外に被害が広がらないように隔離した環境 (サンドボックス) で検体を実行し、どのファイルを作るか、どの設定を書き換えるか、どこと通信するかを観察します。コードを読み解かなくても、実際に何をするかが分かるのが長所です。正解はイです。

ほかの選択肢が違う理由

  • アハッシュ値を既知のマルウェアの一覧と照らすのは、検体を動かさずに調べる方法です。動的解析ではありません。
  • ウ逆コンパイルしたコードを読んで機能を調べるのは、検体を動かさない静的解析です。
  • エ拡張子とファイルヘッダの中身を比べて偽装を見つけるのは、ファイルの中身を見て調べる方法で、検体を実行していません。動的解析ではありません。

仕組み

静的解析は「読んで調べる」、動的解析は「動かして見る」と覚えます。

マルウェアの中には、サンドボックスの中で動かされていることに気付くと、悪い動きを隠す物があります。そのため、静的解析と動的解析を組み合わせて調べます。