サンドボックス

不審なプログラムやファイルを隔離された仮想環境で安全に実行し、その挙動を分析する仕組み。マルウェアの検知や未知の脅威の分析に活用される。

不審なファイルやプログラムを隔離された仮想環境で実行し、その振る舞いを分析するセキュリティ技術。未知のマルウェアの検出に有効で、次世代ファイアウォールやメールセキュリティ製品に搭載される。実環境への影響なく安全に検体を分析できる。

不審なプログラムやファイルを隔離された仮想環境で安全に実行し、その挙動を観察・分析する技術。マルウェアの動的解析に使用され、ファイル操作、レジストリ変更、ネットワーク通信などの振る舞いを記録する。マルウェア対策ソフトの検知を回避する解析妨害手法への対処も重要となる。

不審なプログラムやファイルを、本来の環境から隔離した仮想環境で実行し、その挙動を観察する仕組み。ファイルの作成、レジストリの変更、外部への通信などを記録して、シグネチャでは検知できない未知のマルウェアを判定する動的解析に使われる。仮想環境であることを察知して活動を止めるマルウェアもあるため、解析妨害への対処も必要になる。

既知のマルウェアに固有のビット列（シグネチャ）を集めた定義ファイルと検査対象を照合して検出する手法。誤検知が少なく高速だが、定義ファイルに未登録の新種や亜種、ファイルレス型は検出できない。

プログラムを実際に動作させ、ファイルの大量暗号化や不審な外部通信といった挙動からマルウェアと判断する検出手法。振る舞い検知とも呼ばれ、定義ファイルに頼らないため未知のマルウェアにも対応できる。

コードの構造や命令の並びを解析し、マルウェアらしい特徴を持つかを経験則に基づいて判定する検出手法。実行前に判断できる点が利点だが、判定を厳しくすると正常なプログラムを誤検知しやすくなる。

既知のマルウェアの特徴的なコードパターン（シグネチャ）をデータベースに登録し、検査対象のファイルと照合してマルウェアを検出する手法。マルウェア定義ファイル（パターンファイル）の更新が不可欠で、未知のマルウェアは検出できない。

プログラムの実際の動作を監視し、不審な挙動（ファイルの改変、通信の発生など）を検知してマルウェアを検出する手法。未知のマルウェアも検出可能だが、正常なプログラムを誤検知する可能性がある。

マルウェアに共通する構造的特徴や疑わしいコードパターンを分析し、既知のシグネチャがなくてもマルウェアの可能性があるプログラムを検出する手法。静的ヒューリスティック（コード分析）と動的ヒューリスティック（実行監視）がある。