マルウェア対策ソフトと不正プログラム対策

マルウェア対策は、不正プログラムの侵入、実行、永続化、横展開及び情報持出しを、予防・検知・封じ込め・除去・復旧の各段階で抑える活動です。対策ソフトはその一要素であり、シグネチャ、ヒューリスティック、振る舞い、機械学習などを組み合わせて検知します。

■ 試験で押さえるポイント

• シグネチャ検知は既知マルウェアに有効ですが、未知・難読化・ファイルレス型を単独で完全には検知できません。定義ファイルとエンジンを継続更新します。

• 振る舞い検知やEDRは、プロセス生成、権限昇格、資格情報窃取、外部通信などの挙動を相関して調査・封じ込めを支援します。検知しただけで自動的に被害が解消するとは限りません。

• OS・アプリの更新、アプリケーション制御、最小権限、メール・Web対策、ネットワーク分離、バックアップ、ログ監視を重ねます。

• 感染時は対象端末を隔離し、影響範囲、侵入経路、永続化、漏えい、横展開を調査して根絶し、安全な状態から復旧します。証拠保全が必要な場合は不用意な操作を避けます。

• 隔離は感染ファイルを実行不能な領域へ移す処理、駆除は悪性コードや永続化を除去する処理であり、正常ファイルの復元とは別です。

■ 過去問での着眼点

対策ソフトだけで未知マルウェアを含む全ての感染を防げる、という選択肢は誤りです。更新、最小権限、EDR、ネットワーク対策、バックアップ及び対応手順を組み合わせます。検知後は隔離・影響調査・根絶・復旧まで必要です。

例: 端末で不審なPowerShell実行と外部送信を検知したら、EDRでネットワーク隔離し、認証情報の悪用と他端末への横展開をログで確認してから、再構築と資格情報変更を行います。