正解：ウ
各選択肢の解説
ア定義ファイルの更新間隔を、1日1回から1時間ごとに短くする。
誤り。更新を早めると、出回り始めた新種を見逃す時間は短くなります。 ただし1社のためだけに作られたマルウェアは検体が集まらず、定義ファイルにいつまでも載りません。 載らないものは、何回更新しても見つけられません。
イ別の製品のパターンマッチング法による検査を、メールサーバにも加える。
誤り。製品を重ねると、一方の定義ファイルに載っていない既知のマルウェアを拾える場合があります。 それでも、どちらも「既に知られている特徴」と照合する方式です。 誰も検体を持っていないマルウェアには、どの製品の定義ファイルも対応できません。
ウプログラムの動作を監視し、不審なふるまいから検知する方式を加える。
正解。ビヘイビア法（振る舞い検知）は、定義ファイルに載っているかではなく、 ファイルの大量暗号化や外部への不審な通信といった動きで判定するので、未知のものにも反応できます。
エPCの起動時に、すべてのファイルを定義ファイルで検査する設定にする。
誤り。検査する範囲や回数を増やす対策で、すでにある特徴と照合する点は変わりません。 定義ファイルに載っていないマルウェアは、全ファイルを何度調べても一致するものがないので、 検知の漏れは埋まりません。
理解を深めるために
「顔写真の手配書」では初犯は捕まらない
パターンマッチング法は、手配書の顔写真と通行人を見比べる警備に似ています。 写真のある相手は確実に見つけられますが、まだ写真が出回っていない相手は素通りします。 特定の1社だけを狙って作られたマルウェアは、ほかで見つかることがないので、 手配書（定義ファイル）がいつまでも作られません。
そこで、顔ではなく行動を見る警備を加えます。 「夜中に金庫の前をうろつく」「荷物を次々に運び出す」といった動きに反応すれば、 初めて見る相手でも止められます。
なぜ未知のマルウェアに振る舞い検知が効くのか
- パターンマッチング法は、定義ファイルに登録された既知の特徴と一致するかで判定する
- 定義ファイルに載るには、誰かが検体を手に入れて解析する必要がある
- 1社向けに作られたマルウェアは検体が出回らず、この前提が成り立たない
- ビヘイビア法は、ファイルを短時間に大量に書き換える、外部へ不審な通信をする、といった動きで判定する。 特徴が登録されていなくても反応できる
振る舞いで判定する方式は、正規のソフトを誤って検知することもあります。 そのため、パターンマッチング法を置き換えるのではなく加えるのが基本です。
混同しやすいものとの違い
| 対策 | 手がかり | 1社向けの未知のマルウェアに |
|---|---|---|
| 振る舞い検知を加える | プログラムの動き | 定義ファイルがなくても反応できる |
| 定義ファイルの更新間隔を短くする | 既知の特徴 | 定義ファイルに載らないので効かない |
| 別製品のパターンマッチングを重ねる | 既知の特徴 | どの製品も検体を持たないので効かない |
| 起動時に全ファイルを検査する | 既知の特徴 | 範囲を広げても照合先がない |
試験では、検知できなかった理由が「更新が遅い」のか「そもそも特徴が知られていない」のかを読み分けます。 後者なら、照合の回数や範囲を増やす対策では埋まりません。