IPA マルウェア — 頻出論点と過去問

頻出論点

1. この分野は何か

利用者の端末に入り込んで不正な動作をするマルウェアについて、どう入り込み、どう隠れ、どう見つけるか、そして感染したときに被害をどう抑えるかを扱います。ランサムウェアやボット、RATなどの特徴から、検知回避の手口とビヘイビア法などの検出手法、バックアップによる被害軽減策までを体系的に押さえます。

2. 実際の出題のされ方

代表的なマルウェアの名称・感染経路と基本的な対策は、ITパスポートで問われます。ファイルを勝手に暗号化して復号と引き換えに金銭を要求するランサムウェア、標的型攻撃で遠隔からファイル送受信やコマンド実行を行うRAT、再侵入用の裏口を設けるバックドア、Webサイト閲覧時にブラウザ等の脆弱性を突いて気づかれないうちに感染させるドライブバイダウンロードの用語識別が出題されています。また、OSのセキュリティパッチ適用による感染防止も問われるほか、ネットワークやPCから切り離した外部記憶装置への定期バックアップによるランサムウェア被害軽減策が頻出です。

遠隔操作の指令役や上書き不能なバックアップ媒体は、応用情報技術者や高度試験の午前Iで問われています。ボットネットにおいて遠隔操作可能なマルウェアへ情報収集や攻撃活動を指示するC&C（Command and Control）サーバの役割や、一度書き込むと上書き・削除ができないWORM（Write Once Read Many）機能をもつストレージへのバックアップによるランサムウェア対策が出題されています。

午前IIでは、検知をすり抜ける手口と外部との通信の隠し方まで問われます。OSに不正に組み込んだツールの存在を隠すルートキット、感染ごとに異なる鍵で自身のコードを暗号化するポリモーフィック型マルウェア、ファイルシステム上に実行ファイルを生成せずメモリ上にのみ展開するファイルレス攻撃、文字の表示順を変える制御文字で拡張子を偽装するRLO（Right-to-Left Override）が出題されています。通信の隠し方では、コネクトバックの説明とドメインフロンティングを悪用した攻撃の例が問われています。また、検出手法のビヘイビア法の説明や、Miraiの動作を選ぶ問題も出ています。

3. 学習のポイント

第一に、マルウェアの種類とC2通信の仕組みを整理します。自らネットワーク経由で感染を広げるワーム、有益なソフトを装うトロイの木馬、裏口を設けるバックドア、不正ツールや痕跡を隠蔽するルートキット、遠隔操作されるボットやRATを切り分けます。特にIoT機器を狙うMiraiは、Webサーバの改ざんではなくランダムな宛先IPアドレスへのスキャンで感染を広げ、ボットネット化してDDoS攻撃を行います。また、社内から外部への通信がファイアウォールで許可されやすい点を突いて侵害システムから攻撃者サーバへ接続を開始するコネクトバックと、CDNを悪用して通信先ドメインを偽装するドメインフロンティングを押さえておきます。

第二に、検知回避の手口と検出手法を対比します。既知の特徴的なコードを登録した定義ファイルと照合するパターンマッチング法に対し、ポリモーフィック型は感染ごとに暗号鍵を変えてパターン検知を逃れ、ファイルレス攻撃はストレージ上にファイルを残さずメモリ上だけで動作します。一方、検出側のビヘイビア法は、プログラム実行時のデータ読込み・書込み・通信といった動作（ふるまい）を監視するため、未知のマルウェア検出にも有効です。原本と検査対象のハッシュ関数による値を比べるコンペア法や、保証情報の不整合を調べるインテグリティチェック法と区別しましょう。

第三に、予防策と被害軽減策の目的を区別します。マルウェア感染の予防にはマルウェア対策ソフトの導入とOS・ソフトウェアのセキュリティパッチ適用が有効であり、ランサムウェア感染後の被害軽減には、ネットワークから切り離したオフラインバックアップやWORM機能付きストレージへのバックアップが有効です。

4. 間違えやすいところ

ランサムウェア対策の選択肢では、HDDの暗号化やRAID5構成、常時レプリケーション、共有フォルダをネットワークドライブに割り当てたバックアップ、複雑なログインパスワードや多要素認証が誤答としてよく並びます。HDD暗号化は端末盗難時の漏えい対策、パスワード強化は不正ログイン対策であり、OS稼働中にファイルシステム経由で書き換えを行うランサムウェアは防げません。また、RAID5や常時レプリケーション、接続されたままのネットワークドライブでは、暗号化された状態がそのまま全ディスクや複製先にも反映されてしまいます。

さらに、ビヘイビア法の説明として定義ファイルを用いるパターンマッチング法や原本とのハッシュ比較を選ばせる選択肢、Miraiの動作としてWebページの改ざんやファイル共有ソフト経由の情報公開（暴露ウイルス）を挙げる選択肢にも注意が必要です。