問84
頻出度★★★
社内の PC でマルウェアが発見された。そのマルウェアが他の PC にも存在するかどうかを調査する方法として, 最も適切なものはどれか。
平成30年度 秋期 ITパスポート試験 問84
この問題の解説と、これまでの解答の記録です。
解説
問 84
不正解ア
アクセス権（読取・書込・実行などの許可設定）は、そのファイルに誰がどう操作できるかを示すだけで、ファイルの中身とは無関係。同じアクセス権をもつ無害なファイルは大量に存在し、逆にマルウェアのアクセス権は PC ごとに異なりうるので、同一マルウェアの判定材料にならない。
不正解イ
拡張子（.exe など）は名前の一部にすぎず、内容を保証しない。同じ拡張子の正常ファイルは無数にあり、またマルウェアは拡張子を偽装・変更することも多いため、拡張子一致では同一のマルウェアかどうかを区別できない。
不正解ウ
所有者はファイルを作成・保有するユーザを示す属性で、中身とは無関係。同じユーザが作った無害なファイルも同じ所有者になり、感染経路によってマルウェアの所有者も PC ごとに変わりうるので、同一マルウェアの特定手段としては不適切。
- エ
正解 ハッシュ値は、ファイルの内容全体をハッシュ関数に通して得られる固定長の値で、内容が完全に同一のファイルは必ず同じハッシュ値になる（逆に 1 バイトでも違えば値が変わる）。したがって、発見されたマルウェアと同じハッシュ値をもつファイルを他の PC から探せば、まさに同一のマルウェア本体そのものを高い確実性で特定できる。ファイル名や拡張子を変えられても内容が同じなら値は一致するため、名前を偽装するマルウェアの追跡にも有効。これが「同じマルウェアが存在するか」を調べる最も適切な方法であり、正解はエ。
ここがポイント
- ハッシュ値（ハッシュ関数の出力）はファイル内容から一意に定まり、内容が同一なら同値・少しでも違えば別値になる。この性質を使うと、名前を変えられても同一ファイル（同一マルウェア）を確実に照合できる。
- アクセス権・拡張子・所有者はいずれもファイルの属性や名前であって内容そのものを保証しない。マルウェアの同一性判定には内容ベースのハッシュ値照合が最適。
用語