ITパスポート試験 ITパスポート 2017年 (平成29年 秋期) 問70: ゼロデイ攻撃のような未知の脅威からシステムを守るための,振る舞い検知の技術に関する記述として,適切なものはどれか。

正解

ウ. プログラムの動きを常時監視し,意図しない外部への通信のような不審な動きを発見したときに,その動きを阻止する。

正答率 64.9%（847人中 550人が正解）

問題の解説

振る舞い検知(Behavior-based Detection)はウイルス対策ソフトのシグネチャ(パターンマッチング)方式とは異なり,プログラムの実際の動作・振る舞いをリアルタイムに監視し,不審な挙動を検出して阻止する技術である。未知のマルウェア(ゼロデイ脅威)に対しても有効。正解はウ。

選択肢ごとの解説

• ア一定時間操作がないことを検知して画面を暗くしたり,スクリーンセーバを起動したりする機能はOSの電源管理・画面保護機能である。セキュリティ上の脅威を検知して阻止する振る舞い検知技術とは目的・仕組みが異なる。
• イ連続した誤パスワード入力を検知してアカウントをロックするのは認証失敗への対策であり,アカウントロックアウトポリシと呼ばれる。パスワード総当たり攻撃への対策として有効だが,プログラムの不審動作を監視する振る舞い検知とは別の仕組み。
• ウプログラムの動きを常時監視し,意図しない外部への通信(C&Cサーバへの通信,データ外部送信など)のような不審な挙動を発見したときに阻止するのが振る舞い検知である。ゼロデイ攻撃への有効な対策。正解。
• エWebページへの入力に含まれる有害な文字列を無害な文字列に置換する処理はサニタイジング(Sanitizing)またはエスケープ処理であり,SQLインジェクションやXSSの対策として使われる入力値検証の手法。振る舞い検知ではない。