問84
頻出度★★★
社内の PC でマルウェアが発見された。そのマルウェアが他の PC にも存在するかどうかを調査する方法として, 最も適切なものはどれか。
平成30年度 秋期 ITパスポート試験 問84
这道题的解析和你的作答记录。
解説
問 84
错误ア
访问权限（读取、写入、执行等许可设置）只表示谁能对该文件做何种操作，与文件的内容无关。具有相同访问权限的无害文件大量存在，反过来恶意软件的访问权限在各台 PC 上也可能不同，所以无法作为判定是否为同一恶意软件的依据。
错误イ
扩展名（如 .exe）只是名称的一部分，并不能保证内容。相同扩展名的正常文件不计其数，而且恶意软件常常伪装或更改扩展名，所以仅凭扩展名一致无法区分是否为同一恶意软件。
错误ウ
所有者是表示创建、持有该文件的用户的属性，与内容无关。同一用户创建的无害文件也会具有相同的所有者，而且恶意软件的所有者会因感染途径不同在各台 PC 上发生变化，所以作为锁定同一恶意软件的手段并不合适。
- エ
正解 散列值是把文件的全部内容经过散列函数计算后得到的固定长度的值，内容完全相同的文件必定得到相同的散列值（反之，哪怕只差 1 个字节，值也会改变）。因此，只要在其他 PC 上查找与发现的恶意软件具有相同散列值的文件，就能以很高的确定性锁定完全相同的那个恶意软件本体。即使文件名或扩展名被改动，只要内容相同散列值就一致，所以对追踪伪装文件名的恶意软件同样有效。这是调查「是否存在相同恶意软件」的最恰当方法，正确答案是エ。
ここがポイント
- 散列值（散列函数的输出）由文件内容唯一确定，内容相同则值相同、稍有不同则值不同。利用这一性质，即使名称被更改也能可靠地比对出同一文件（同一恶意软件）。
- 访问权限、扩展名、所有者都只是文件的属性或名称，并不能保证内容本身。判定恶意软件是否相同，最合适的是基于内容的散列值比对。
用語