マルウェアの動的解析｜情報セキュリティマネジメント 令和元年 秋期午前試験 問22
出典：令和元年秋期 午前 問22
分野：セキュリティ ／ 情報セキュリティ対策
マルウェアの動的解析に該当するものはどれか。
- ア：検体のハッシュ値を計算し，オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。
- イ：検体をサンドボックス上で実行し，その動作や外部との通信を観測する。
- ウ：検体をネットワーク上の通信データから抽出し，さらに，逆コンパイルして取得したコードから検体の機能を調べる。
- エ：ハードディスク内のファイルの拡張子とファイルヘッダーの内容を基に，拡張子が偽装された不正なプログラムファイルを検出する。
TSUNAGARU-ADVICE
まず押さえたいこと
マルウェアの動的解析は、検体を実際に動作させて、その振る舞いを観察する解析方法です。安全に隔離されたサンドボックスなどで実行し、ファイル操作・プロセス生成・レジストリ変更？外部サーバとの通信などを確認します。
迷ったときの判断軸
実行して調べるなら動的解析、実行せず中身を調べるなら静的解析と整理しましょう。ハッシュ値の照合や逆コンパイルによるコード解析、ファイルヘッダーの確認は、いずれも検体を実行しなくても行える調査です。
科目Bにつなげるために
科目Bでは、不審なファイルを調査する際に、実行後にどの通信先へ接続したか、どのファイルを生成したか、どのプロセスを起動したかを追う場面につながります。静的解析と動的解析で得られる情報の違いを意識しておきましょう。
マルウェア解析には、大きく動的解析と静的解析があります。違いは、検体を実際に動かして調べるか、動かさずに中身を調べるかです。
本問では、「検体をサンドボックス上で実行し」「その動作や外部との通信を観測する」という部分が判断のポイントです。実際に検体を動作させ、その振る舞いを確認しているため、イが適切です。
❌他選択肢が誤りの理由ア：検体のハッシュ値を計算し，オンラインデータベースに登録された既知のマルウェアのハッシュ値のリストと照合してマルウェアを特定する。
⇒検体を実行せず、ハッシュ値を既知の情報と照合して判定する方法です。実際の挙動を観察する動的解析には該当しません。
ウ：検体をネットワーク上の通信データから抽出し，さらに，逆コンパイルして取得したコードから検体の機能を調べる。
⇒逆コンパイルしたコードを調べるのは静的解析です。検体を実際に実行して動作や通信を観察する方法ではありません。
エ：ハードディスク内のファイルの拡張子とファイルヘッダーの内容を基に，拡張子が偽装された不正なプログラムファイルを検出する。
⇒ファイルの拡張子やヘッダーを調べて不審なファイルを判定する方法です。検体を実行して挙動を観察する動的解析ではありません。