SC情報セキュリティインシデント管理の推進又は支援に関すること · 情報セキュリティインシデントへの対応

静的解析

Static Analysis

せいてきかいせき

マルウェア検体を実行せずに、逆アセンブルや文字列抽出によってコードの構造や機能を調べる解析手法。実行による二次被害がない一方、パッカーや難読化が施されていると解析に手間が掛かる。

共有:

他の資格での定義

プログラムを実行せずに、ソースコードを解析して誤りや規約違反、脆弱性を検出する手法。開発の早い段階で問題を発見でき、コーディング標準の遵守確認にも使われる。

プログラムを実行せずにソースコードを解析し、潜在的なバグ、セキュリティ脆弱性、コーディング規約違反などを検出する手法。バッファオーバーフロー、未初期化変数、メモリリークなどの問題を早期に発見できる。

プログラムを実行せずに、ソースコードや実行ファイルの内容を調べて分析する手法。マルウェアの解析では、逆アセンブルなどで検体のコードや埋め込まれた文字列を調べ、機能や通信先を推定する。ソフトウェアの開発では、ツールでソースコードを検査して不具合や脆弱性を見つけるのに使う。

Past Exams

過去問で 4 回出題（システムアーキテクト試験 2・応用情報技術者試験 1・システム監査技術者試験 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

不審なプログラムやファイルを隔離された仮想環境で安全に実行し、その挙動を観察・分析する技術。マルウェアの動的解析に使用され、ファイル操作、レジストリ変更、ネットワーク通信などの振る舞いを記録する。マルウェア対策ソフトの検知を回避する解析妨害手法への対処も重要となる。

検体となるマルウェアの動作・目的・影響範囲を調査する技術。サンドボックスで実際に動作させる動的解析と、逆アセンブルなどでコードを読み解く静的解析がある。解析結果はインシデントの被害範囲の特定やIoCの抽出、再発防止策の立案に活用される。

実行可能形式のバイナリファイルを機械語からアセンブリ言語に変換し、プログラムの処理内容を解読する技術。マルウェアの静的解析で用いられ、コードの機能・通信先・暗号化ロジックなどを特定する。逆コンパイル（デコンパイル）と合わせて活用される。

マルウェア検体をサンドボックスなど隔離した環境で実際に実行し、通信先やファイル操作、レジストリ変更などの挙動を観測する解析手法。難読化された検体でも実挙動を把握できるが、解析環境を検知して動作を止める検体には無力なことがある。

実行ファイルを圧縮・暗号化し、実行時に復元して動作させるツール。マルウェアが静的解析やパターンマッチングを回避する目的で用いる。解析では実行時に展開されたコードをメモリから取り出すアンパックが必要になる。

パッカーで圧縮・暗号化された実行ファイルから、元の実行コードを復元する作業。マルウェア解析の前処理として、デバッガでメモリ上に展開された状態を取り出す方法などがとられる。