情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度春期 午前 問16: ワームの検知方式の一つとして，検査対象のファイルから SHA-256 を使ってハッシュ値を求め，既知のワーム検体ファイルのハッシュ値のデータベースと照合する方式

正解

ア. ワーム検体と同一のワーム

正答率 75.0%（16人中 12人が正解）

問題の解説

ハッシュ値（SHA-256）はファイルの内容が1ビットでも異なれば全く別の値になる性質をもつため，この照合方式では検体と完全に同一のファイルしか一致しない。したがって検知できるのはワーム検体とまったく同一のワームに限られ，正解はアである。

選択肢ごとの解説

• アハッシュ値が一致するのは内容が完全に同一のファイルだけなので，検体と同一のワームは検知できる。
• イ特徴あるコード列が同じでも他の部分が異なればハッシュ値が変わるため，この方式では検知できない（これはパターンマッチング方式で検知する対象である）。
• ウファイルサイズが同じでも内容が違えばハッシュ値は一致しないため，この方式では検知できない。
• エ亜種は元の検体と内容が異なるためハッシュ値が変わり，ハッシュ照合方式では検知できない。