問70
頻出度★★★
ゼロデイ攻撃のような未知の脅威からシステムを守るための, 振る舞い検知の技術に関する記述として, 適切なものはどれか。
平成29年度 秋期 ITパスポート試験 問70
这道题的解析和你的作答记录。
解説
問 70
错误ア
在一定时间内未被操作时将屏幕调暗或显示不断变化的图像，这是屏幕保护程序或屏幕自动锁定（节能·防窥）的功能，与监控程序行为来检测威胁的行为检测无关。
错误イ
当错误口令连续输入超过规定次数就停用账户，这是针对暴力破解（穷举）攻击的对策——账户锁定机制。它只是统计认证失败的次数，并不监控程序的动作，不属于针对未知威胁的行为检测。
- ウ
正解 行为检测（行为分析法·异常检测）是一种持续监控程序动作、在发现像未预期的对外通信这样的可疑动作时将其阻止的技术。与比对已知恶意软件特征（特征码/病毒特征库）的方式不同，它捕捉的是行为本身的异常，因此对特征库中尚未登记的未知威胁以及零日攻击也能应对。符合这一说明的是ウ。
错误エ
从用户输入的内容中找出有害字符串并替换为无害字符串，这是防止 SQL 注入或跨站脚本等攻击的输入值无害化处理（净化/转义）。它是对输入数据的检查，与监控程序动作来阻止可疑动作的行为检测不同。
ここがポイント
- 行为检测（行为分析法）不依赖特征码比对，而是监控并阻断程序行为的异常，因此对零日攻击等未知威胁有效。
- 要掌握它与模式匹配型（比对已知特征）的区别。ア＝屏幕锁定、イ＝账户锁定、エ＝输入值无害化，注意不要把这些各自不同的安全对策混为一谈。
用語