ルートキット
更新日:
用語解説
侵害後の高い権限、長期潜伏、再侵入を維持し、悪性プロセス、ファイル、通信、ログ等をOSやファームウェアの観測から隠すための機能・ツール群です。
■ 試験で押さえるポイント
ユーザ空間、カーネル、ブート領域、ファームウェア等へ入り、システムAPIや表示結果を改変して通常の管理・検査から自身を隠します。
バックドアは再アクセス経路、ルートキットは権限維持と隠蔽へ重点がありますが、同じ攻撃で組み合わせて使われます。
セキュアブート、署名付きコード、最小権限、カーネル保護、整合性測定、外部からのオフライン検査等で予防・検知します。
高権限で観測機構自体が信用できない場合、端末上の駆除結果へ依存せず、証拠を保全して信頼できる媒体から再構築し、資格を更新します。
■ 過去問での着眼点
OS深部等で高権限・潜伏を維持し、痕跡を隠すツール群です。単なる再侵入口であるバックドアと重点が異なります。
例: カーネルAPIを改変して悪性プロセスを一覧から消すルートキットが疑われる場合、端末外から検査し、原則として信頼済み媒体で再構築します。