解説

ビヘイビア法（Behavior-based Detection）はマルウェア検出手法の一つで、プログラムの実際の動作・振る舞いを監視してマルウェアを検出する方式です。具体的には「ファイルの読み書き（データ読込・書込みの動作）」「レジストリの変更」「ネットワーク通信（C&Cサーバへの接続）」「プロセスの異常終了・生成」などの動作パターンを監視します。既知のマルウェアのシグネチャ（パターン）を持たない未知マルウェア（ゼロデイ）も、異常な動作をすれば検出できるという特徴があります。サンドボックス（隔離環境）でプログラムを実行させて動作を観察する手法もビヘイビア法に含まれます。パターンマッチングのシグネチャ法と組み合わせて使われることが多いです。

なぜ他の選択肢は違うのか

選択肢 ア

「あらかじめ特徴的なコードをパターンとして登録したマルウェア定義ファイルを用いて比較し、同じパターンがあればマルウェアとして検出する」はシグネチャ法（パターンマッチング法）の説明です。既知のマルウェアのパターンとの照合による検出方式であり、未知マルウェアの検出が困難というビヘイビア法が補完しようとする弱点があります。

選択肢 イ

「マルウェアに感染していないことを保証する情報をあらかじめ検査対象に付加しておき、検査時に不整合があればマルウェアとして検出する」はインテグリティチェッキング法（整合性検証法）の説明です。チェックサムやハッシュ値を事前に記録し、変化を検出する方式です。動作の監視ではなくファイルの改ざん検出に用いられます。

選択肢 ウ

「マルウェアの感染が疑わしい検査対象のハッシュ値と、安全な場所に保管されている原本のハッシュ値を比較し、マルウェアを検出する」もインテグリティチェッキング法の説明です。ハッシュ値の比較による改ざん検出であり、プログラムの動作・振る舞いを監視するビヘイビア法とは手法が異なります。

解くときのポイント

マルウェア検出手法の4種類：①シグネチャ法＝「パターンマッチング（既知マルウェアに有効）」②ビヘイビア法＝「動作監視（未知マルウェアも検出可能）」③ヒューリスティック法＝「コード解析で悪意ある命令パターンを検出」④インテグリティチェッキング法＝「ハッシュ値比較で改ざん検出」。