正解：エ
各選択肢の解説
ア振る舞い検知を無効にし、定義ファイルによる検知だけの運用に戻す。
誤り。業務は止まらなくなりますが、振る舞い検知を入れた目的である未知のマルウェアへの備えを丸ごと失います。 1つのツールの誤検知のために、全体の検知の仕組みを手放すのは釣り合いません。
イ集計ツールを置いているフォルダ全体を、検知の対象外に設定する。
誤り。業務は再開できますが、そのフォルダに置かれた別のプログラムも検査されなくなります。 攻撃者が不正なプログラムを置けば素通りするので、対象外の範囲を必要以上に広げています。
ウ隔離された利用者が、自分の判断で隔離を解除できる設定にする。
誤り。利用者が早く仕事に戻れるので現場には喜ばれますが、正規のツールか本物のマルウェアかの見極めを利用者に任せることになります。 本物の検知も「いつもの誤検知」として解除されかねません。
エ検知の内容を確かめ、正規のツールと確認できたファイルだけを対象外に登録する。
正解。まず誤検知かどうかを確かめ、確認できたファイルに限って例外にすれば、 業務を戻しつつ、ほかのプログラムに対する振る舞い検知は残せます。
理解を深めるために
敏感な警報器は、ときどき身内にも鳴る
振る舞い検知は、定義ファイルに載っていない未知のマルウェアを、動きの怪しさから見つける方式です。 怪しさで判定する以上、**正規のソフトを誤って検知すること（誤検知）**は避けられません。 社内で作ったツールは、ほかで使われた実績がなく、ファイルを大量に読み書きするなど マルウェアに似た動きをすることもあるので、引っかかりやすくなります。
警報器が身内に反応するたびに電源を切っていたら、泥棒が来たときに鳴りません。 直すべきなのは「身内だと確かめた人だけを通す」ことです。
対応の順序
- 検知の内容を確かめる。 本当に誤検知なのか、ツールが改ざんされていないかを調べる
- 正規と確認できたものだけを例外にする。 ファイルを特定して登録し、範囲を広げない
- 例外を記録し、見直す。 ツールを更新したら改めて確かめる
例外の範囲を「フォルダ全体」のように広く取ると、そこが攻撃者にとっての抜け道になります。 誤検知への対処は、検知の仕組みを残したまま、例外を最小にとどめることが基本です。
混同しやすいものとの違い
| 対応 | 業務 | 未知のマルウェアへの備え |
|---|---|---|
| 確認したファイルだけ対象外にする | 再開できる | ほかのプログラムには残る |
| 振る舞い検知を無効にする | 再開できる | 全体で失われる |
| フォルダ全体を対象外にする | 再開できる | そのフォルダが抜け道になる |
| 利用者が隔離を解除できるようにする | 再開できる | 判断が利用者任せになる |
試験では、どの選択肢でも業務は戻ります。違いは、検知の仕組みをどこまで残すか、 誰が誤検知と判断するかにあります。