【情報セキュリティマネジメント】マルウェア対策、何を手掛かりに検出するか｜パターン・ふるまい・サンドボックス・許可リスト

2026.08.27

マルウェア対策ソフトで検出されなかったからといって、そのファイルが安全だとは限りません。

マルウェアを見つける方式には、既知の特徴と照合する方法や、実行時の動作を見る方法があります。また、疑わしいプログラムを隔離環境で観察したり、許可したプログラムだけを実行させたりする対策もあります。

科目Bでは、製品名だけでなく、何を手掛かりに検出・制御しているかを読み取ります。

読み終えるころには、事例に示された検査結果が何を確かめたもので、何を確かめていないのかを切り分けられるようになります。

先に結論：検出と実行制御を区別する

仕組み 判断・制御の中心 注意すること
パターンマッチング法 登録済みの既知の特徴との一致 未登録の新種や変形を見逃す場合がある
ふるまい検知 実行時の不審な動作 未知のものにも役立つが、誤検知や見逃しはあり得る
サンドボックス 制限された環境で実行した結果 一度異常が見られなくても安全は保証されない
許可リスト 事前に実行を認めた対象か 許可対象と変更手続を継続して管理する
拒否リスト 禁止対象として登録済みか 未登録の不正プログラムを許す可能性がある

共通する誤りは、一つの検査結果や一つの対策だけで安全と断定することです。

SGシラバスでの位置付け

SGシラバス Ver.4.1では、マルウェア検出手法としてパターンマッチング法、ビヘイビア法（振る舞い検知）、ヒューリスティック法、未知マルウェア検出手法が明示されています。

また、セキュリティ製品・サービスの用語例には許可リスト（パスリスト）、拒否リスト（ブロックリスト）が挙げられています。

一方、サンドボックスという名称はVer.4.1の用語例には明示されていません。本記事では、関連問題を判断するために必要な補助概念として、NIST資料も参照しながら基本的な役割を扱います。

1．パターンマッチング法：既知の特徴と照合する

パターンマッチング法は、既知のマルウェアから抽出した特徴を登録し、検査対象と照合する方式です。マルウェア定義ファイルやシグネチャを用いた検査が代表例です。

登録済みの脅威を効率的に見つけるために役立ちますが、次のようなものを検出できない場合があります。

  • 定義ファイルへまだ登録されていない新種
  • 特徴を変更した亜種
  • コードを難読化したもの
  • 検査を回避するように加工されたもの

そのため、定義ファイルを更新することは必要ですが、最新版で未検出だったことを安全の証明にはできません。

「未知のマルウェアを、既知のシグネチャや登録済みハッシュ値との一致だけで検出する」という説明にも注意します。既知の情報との一致だけを見る方法では、新しい特徴を持つものへ対応できない場合があります。

2．ふるまい検知：実行時の動作を見る

ふるまい検知は、ファイル名や登録済みの特徴だけでなく、プログラムが実行時に示す動作から不正を判断する方式です。SGシラバスではビヘイビア法（振る舞い検知）と表記されています。

例えば、次のような動作が判断材料になります。

  • 多数のファイルを短時間で変更する
  • 認証情報へ不自然にアクセスする
  • 通常使わない外部宛先へ通信する
  • セキュリティ機能や記録を停止しようとする
  • 正規プログラムを利用して不審な処理を行う

既知の定義と完全に一致しない未知・新種の検出にも役立ちます。

ただし、「ふるまい検知なら未知のマルウェアを必ず検出できる」という意味ではありません。正常な管理作業を不正と判断することも、巧妙な動作を見逃すこともあります。

SGシラバスには、パターンマッチング法とビヘイビア法のほか、ヒューリスティック法や未知マルウェア検出手法も示されています。本記事では、関連問題で直接判断が必要な方式を中心に整理します。

3．サンドボックス：制限された環境で動作を観察する

サンドボックスは、疑わしいプログラムを、利用できる資源や権限が制限された環境で実行し、その挙動を観察する仕組みです。

例えば、次の変化を確認します。

  • ファイルの作成・変更
  • プロセスの起動
  • システム設定の変更
  • 外部との通信
  • 別のプログラムの取得・実行

通常の業務環境で直接実行するよりも、影響を抑えながら調べられる点が利点です。

異常が見られなくても安全とは限らない

マルウェアの中には、解析環境であることを検知して動作を変えたり、一定時間の経過や特定の操作などの条件を満たしたときだけ動作したりするものがあります。

したがって、サンドボックスで一度異常が確認されなかったことは、安全の完全な保証にはなりません。

必要に応じて、定義ファイルによる検査、静的な特徴、送信元や入手経路、ファイル形式、他の検知・調査結果などと併せて判断します。

サンドボックスを「処理を高速化するための一時データ保存領域」と説明する選択肢も誤りです。本記事で扱うサンドボックスは、疑わしいプログラムを制限された実行環境で観察する仕組みです。

4．許可リストと拒否リスト：載せた対象の扱いが違う

許可リスト方式は、事前に許可したプログラムやスクリプトだけを実行できるようにし、それ以外を原則として拒否する方式です。

受付端末、製造設備の操作端末、専用業務端末など、実行するプログラムが限定されている環境で利用しやすい方式です。

運用時には、例えば次を管理します。

  • 許可する対象
  • 署名、発行元、ハッシュ値などの識別方法
  • 新規導入・更新時の申請と承認
  • 緊急変更や例外の扱い
  • 拒否された実行の記録
  • 不要になった許可項目の削除

許可済みの正規プログラムが攻撃に悪用される場合もあるため、許可リストだけで全てのマルウェアを防げるわけではありません。

拒否リスト方式は、禁止対象として登録したプログラムを拒否し、それ以外を認める方式です。利用できる対象を広く保ちやすい一方、リストへ登録されていない新種や別名の不正プログラムを許す可能性があります。

「許可リストは、禁止対象以外を全て実行できるようにする方式」という説明は、許可と拒否を取り違えています。

5．検疫ネットワークとの境界

SGシラバス Ver.4.1には検疫ネットワークも明示されていますが、本教材では「基準未達の端末をネットワークから隔離する仕組み」として、「セキュリティ製品の使い分け」の記事で整理します。

本記事は、マルウェアをどの特徴・動作で検出するか、またどのプログラムの実行を認めるかという論点へ集中します。

6．科目Bでの使われ方

次のような記述が出たら、結論へ飛躍していないかを確認します。

  • 定義ファイルによる検査では検出されなかった
  • サンドボックスでは異常が確認されなかった
  • 許可リストを導入している

いずれも、それだけで安全を確定する材料にはなりません。

  1. 何を手掛かりにした検査か
  2. その方式が苦手とするものは何か
  3. 他の情報と照合しているか
  4. 実際の実行結果や端末の状態を確認しているか
  5. 疑わしい場合に組織の手順へつないでいるか

という順で読み取ります。

担当者としては、検出結果だけで判断を確定せず、入手経路や端末の状態もあわせて確認します。疑わしいと判断した場合は、自分で駆除や再実行を試みず、組織のインシデント対応手順に従って報告します。許可リストへの追加を求められた場合も、その場で対応せず、定められた申請・承認の手続へつなぎます。

よくある取り違え

誤った考え方 正しい整理
定義ファイルが最新なら全て検出できる 未登録の新種や変形を見逃す場合がある
ふるまい検知なら誤検知も見逃しもない 動作から判断する方式にも限界がある
サンドボックスで異常なしなら安全が保証される 条件によって動作を変えるものなどがある
サンドボックスは一時データを保存する領域 疑わしいプログラムを制限環境で実行・観察する
許可リストは禁止対象以外を全て許可する 許可した対象だけを認める
許可リストを導入すれば管理は不要 更新・例外・記録などを継続して管理する

まとめ

  • パターンマッチング法は、登録済みの既知の特徴と照合する
  • 最新の定義ファイルで未検出でも、安全の証明にはならない
  • ふるまい検知は実行時の動作を見て、未知のものの検出にも役立つ
  • サンドボックスは制限された環境で疑わしいプログラムの挙動を観察する
  • サンドボックスはSGシラバスVer.4.1の明示用語ではないため、補助概念として扱う
  • 許可リストは許可した対象だけを認め、拒否リストは登録した禁止対象を拒否する
  • 用途が限定された端末では許可リストが有効だが、変更管理などの運用が必要
  • 検疫ネットワークは「セキュリティ製品の使い分け」の記事で扱う
  • 科目Bでは、一つの検査結果だけで安全を断定していないかを見る

関連記事

  • C1-T03：マルウェアの分類
  • C1-T04：ランサムウェア
  • C5-T02：脆弱性管理とCVSS
  • C5-T06：アクセス制御と権限管理
  • C5-T08：セキュリティ製品の使い分け
  • C5-T09：ログ管理と監視
  • C6-T02：初動対応とエスカレーション
  • C7-T06：シャドーITとサイバーハイジーン

本記事は、2026年8月3日時点のSGシラバスVer.4.1を基準に作成しています。

参考資料

  • IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
  • NIST「Computer Security Resource Center Glossary」（Sandbox、behavior analysis の各項目）
  • NIST SP 800-167「Guide to Application Whitelisting」（2015年）

関連する問題

コメント

タイトルとURLをコピーしました