マルウェア検出手法

マルウェア検出手法は、ウイルス対策ソフトなどが、ファイルや動作からマルウェアを見つけるための方法です。

■ 試験で押さえるポイント

• パターンマッチング法は、既知の特徴（シグネチャ）と照合します。登録された特徴と一致しない新しい手法は見逃し得ます。

• ヒューリスティック法は、プログラムのコードを調べ、マルウェアによくある処理が含まれていないかで判定します。

• ビヘイビア法は、プログラムを実際に動かし、怪しい動作（振る舞い）から判定します。

■ 過去問での着眼点

シグネチャ、コードの特徴、実行時の振る舞いという判定材料を区別し、それぞれの見逃しと誤検知を考えます。

例: 新種のマルウェアでも、ファイルを次々に暗号化する動作を検知すれば、ビヘイビア法で見つけられます。

■ 検出方式の例外と正常動作の切り分け

• シグネチャが既知の特徴を検出する場合でも、その特徴を共有する新しい亜種を検出できることがある。一方、難読化や未登録の特徴は見逃し得る。『未知は必ず検出不能』とは断定しない。

• 振る舞いやアノマリによる検知には、正規の暗号化・バックアップ・管理スクリプトも一致することがある。通常運用、実行者、親子関係、送信先などを合わせて判断する。

• サンドボックスで実行して異常が出なくても、環境を見分ける処理、実行待ち、ユーザ操作の条件で挙動が出ない場合がある。検知の有無に加え、実行条件と観測時間を確認する。