解説

マルウェアの解析手法には，プログラムを実行せずに調べる静的解析と，実際に実行して挙動を観察する動的解析があります。動的解析は，マルウェアの検体を，隔離された安全な環境であるサンドボックス上で実際に実行し，その動作（ファイル操作・レジストリ変更など）や外部との通信（C&Cサーバへの接続など）を観測して，マルウェアの振る舞いを把握する手法です。したがって正解はb『検体をサンドボックス上で実行し，その動作や外部との通信を観測する』です。選択肢aはハッシュ値の照合による既知マルウェアの特定，cは逆コンパイルによるコード解析（静的解析），dはファイルヘッダと拡張子の照合による偽装検出で，いずれも実行を伴わない静的な手法です。『実際に実行して挙動を見る』のが動的解析の特徴です。

なぜ他の選択肢は違うのか

選択肢 ア

検体のハッシュ値を既知マルウェアのリストと照合して特定するのは，実行を伴わない静的な手法です。実際に実行して挙動を見る動的解析ではありません。

選択肢 ウ

逆コンパイルして取得したコードから機能を調べるのは，プログラムを実行しない静的解析です。サンドボックスで実行して観測する動的解析とは異なります。

選択肢 エ

ファイルの拡張子とファイルヘッダの内容を照合して拡張子の偽装を検出するのも，実行を伴わない静的な手法です。サンドボックスで実行する動的解析には該当しません。

解くときのポイント

動的解析＝検体を『サンドボックスで実行』して動作・通信を観測。ハッシュ照合・逆コンパイル・ヘッダ照合は実行しない静的解析。