情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成30年度春期 午前 問16: ワームの検知方式の一つとして，検査対象のファイルから SHA-256 を使ってハッシュ値を求め，既知のワーム検体ファイルのハッシュ値のデータベースと照合する方式

問題本文

ワームの検知方式の一つとして，検査対象のファイルから SHA-256 を使ってハッシュ値を求め，既知のワーム検体ファイルのハッシュ値のデータベースと照合する方式がある。この方式によって，検知できるものはどれか。

選択肢

• ア.ワーム検体と同一のワーム
• イ.ワーム検体と特徴あるコード列が同じワーム
• ウ.ワーム検体とファイルサイズが同じワーム
• エ.ワーム検体の亜種に該当するワーム

正解

ア. ワーム検体と同一のワーム

解説

ハッシュ値（SHA-256）はファイルの内容が1ビットでも異なれば全く別の値になる性質をもつため，この照合方式では検体と完全に同一のファイルしか一致しない。したがって検知できるのはワーム検体とまったく同一のワームに限られ，正解はアである。

選択肢ごとの解説

• ア.ハッシュ値が一致するのは内容が完全に同一のファイルだけなので，検体と同一のワームは検知できる。
• イ.特徴あるコード列が同じでも他の部分が異なればハッシュ値が変わるため，この方式では検知できない（これはパターンマッチング方式で検知する対象である）。
• ウ.ファイルサイズが同じでも内容が違えばハッシュ値は一致しないため，この方式では検知できない。
• エ.亜種は元の検体と内容が異なるためハッシュ値が変わり，ハッシュ照合方式では検知できない。