サンドボックス

不審なプログラムやファイルを隔離された仮想環境で安全に実行し、その挙動を分析する仕組み。マルウェアの検知や未知の脅威の分析に活用される。

外部から受け取ったプログラムを、本来の環境から隔離した仮想的な領域で実行させる仕組み。挙動を観察して未知のマルウェアを判定したり、万一悪意があっても本体のシステムに影響が及ばないようにしたりする。

不審なファイルやプログラムを隔離された仮想環境で実行し、その振る舞いを分析するセキュリティ技術。未知のマルウェアの検出に有効で、次世代ファイアウォールやメールセキュリティ製品に搭載される。実環境への影響なく安全に検体を分析できる。

不審なプログラムやファイルを、本来の環境から隔離した仮想環境で実行し、その挙動を観察する仕組み。ファイルの作成、レジストリの変更、外部への通信などを記録して、シグネチャでは検知できない未知のマルウェアを判定する動的解析に使われる。仮想環境であることを察知して活動を止めるマルウェアもあるため、解析妨害への対処も必要になる。

検体となるマルウェアの動作・目的・影響範囲を調査する技術。サンドボックスで実際に動作させる動的解析と、逆アセンブルなどでコードを読み解く静的解析がある。解析結果はインシデントの被害範囲の特定やIoCの抽出、再発防止策の立案に活用される。

実行可能形式のバイナリファイルを機械語からアセンブリ言語に変換し、プログラムの処理内容を解読する技術。マルウェアの静的解析で用いられ、コードの機能・通信先・暗号化ロジックなどを特定する。逆コンパイル（デコンパイル）と合わせて活用される。

マルウェア検体をサンドボックスなど隔離した環境で実際に実行し、通信先やファイル操作、レジストリ変更などの挙動を観測する解析手法。難読化された検体でも実挙動を把握できるが、解析環境を検知して動作を止める検体には無力なことがある。

マルウェア検体を実行せずに、逆アセンブルや文字列抽出によってコードの構造や機能を調べる解析手法。実行による二次被害がない一方、パッカーや難読化が施されていると解析に手間が掛かる。

実行ファイルを圧縮・暗号化し、実行時に復元して動作させるツール。マルウェアが静的解析やパターンマッチングを回避する目的で用いる。解析では実行時に展開されたコードをメモリから取り出すアンパックが必要になる。

パッカーで圧縮・暗号化された実行ファイルから、元の実行コードを復元する作業。マルウェア解析の前処理として、デバッガでメモリ上に展開された状態を取り出す方法などがとられる。