SC情報及び情報システムの利用におけるセキュリティ対策の適用の推進又は支援に関すること · マルウェア対策

ビヘイビア法

Behavior Method

びへいびあほう

プログラムを実行し、その振る舞い（レジストリの改変、大量のファイル暗号化、外部への不審な通信など）を監視して不正を判定する検出手法。振る舞い検知とも呼ばれ、未知のマルウェアやファイルレスマルウェアの検知に有効。

共有:

Past Exams

過去問での出題

過去問で 4 回出題（情報処理安全確保支援士試験 4）。うち 4 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。用語名で照合しているため、関係の薄い問題が含まれることがあります。

マルウェア定義ファイルに登録された既知の特徴的なコード列と検査対象を照合して検出する手法。既知のマルウェアは確実に検出できるが、未知のものや暗号化・難読化されたものは検出できない。

システムやネットワークがサイバー攻撃により侵害された可能性を示す技術的な痕跡や指標。C&Cサーバとの通信履歴、不審なファイルハッシュ値、マルウェアの通信先IPアドレスなどが含まれ、脅威インテリジェンスの共有やインシデント対応に活用される。

感染したPCやサーバのファイルを暗号化したり、画面をロックして使用不能にし、復旧と引換えに身代金（ランサム）を要求するマルウェア。データのバックアップ、3-2-1ルール、イミュータブルバックアップなどが対策として重要。

攻撃者のC&Cサーバからの指令で遠隔操作されるマルウェア。感染した多数の端末でボットネットを構成し、DDoS攻撃やスパムメール送信などに悪用される。マルウェアMiraiはIoT機器を標的としたボットネットの代表例。

特定の組織や個人を狙い、巧妙に細工されたメールやWebサイトを用いてマルウェアに感染させるサイバー攻撃。長期間にわたり潜伏して情報を窃取するAPT（持続的標的型攻撃）が代表的。水飲み場型攻撃やスピアフィッシングが手口として使われる。

ボットネットに感染した端末に対して攻撃指令を送信するためのサーバ。攻撃者はC&Cサーバを通じてボットを遠隔操作し、DDoS攻撃やデータ窃取を行う。通信にはHTTPSやDNSトンネリングなどが使われることがある。