動的解析

マルウェア検体をサンドボックスなど隔離した環境で実際に実行し、通信先やファイル操作、レジストリ変更などの挙動を観測する解析手法。難読化された検体でも実挙動を把握できるが、解析環境を検知して動作を止める検体には無力なことがある。

プログラムを実際に動作させ、その振る舞いを観察して分析する手法。マルウェアの解析では、サンドボックスなどの隔離した環境で検体を実行し、作成するファイル、レジストリの変更、通信先などを記録して機能を調べる。ソフトウェアの検証では、実行時のメモリの使い方や脆弱性の有無を調べるのに使う。

既知のマルウェアの特徴を記録した定義ファイルと照合して検出する方式。誤検知が少なく確実だが、定義ファイルにない新種や亜種は検出できないため、常に最新へ更新する必要がある。

プログラムの振る舞いを監視し、不審な動作を見つけて検出する方式。振る舞い検知ともいう。定義ファイルにない未知のマルウェアにも対応できるが、誤検知が起こりやすい。

ソースコードがコーディング標準や記述のルールに従っているかを自動的に検査するツール。規約違反や誤りを招きやすい記述を指摘するため、レビューの負担を減らし、品質のばらつきを抑えられる。

プログラムを実際に動作させて、その結果を確かめるテスト。ソースコードを実行せずに調べる静的解析と対になり、実行したときにしか現れない誤りや性能の問題を見つけられる。

ソースコードやバイナリを実行せずに解析し、セキュリティ上の脆弱性を検出するテスト手法。開発の早い段階で脆弱性を発見でき、CI/CDパイプラインに組み込んで自動実行される。SQLインジェクションやバッファオーバーフローなどのコーディング上の問題を検出する。

利用者の意図に反して、情報の窃取、データの破壊や暗号化、遠隔操作などの有害な動作をするように作られたソフトウェアの総称。ウイルス、ワーム、トロイの木馬、ランサムウェア、スパイウェア、ボット、RATなどがあり、メモリ上だけで動くファイルレスマルウェアや、感染のたびにコードを変えるポリモーフィック型のように検知を逃れるものもある。対策には、マルウェア対策ソフトによる検知に加え、EDRによる振る舞いの監視、サンドボックスでの解析、脆弱性の修正などを組み合わせる。