分野 S｜セキュリティ 重点分野
マルウェア対策とランサムウェア対策（検出手法・バックアップ）
今の制度の過去問（6回分）では、マルウェアの検出方法を選ぶ問題が2問出ています。
シラバス案 Ver.0.1（2026年9月30日公表）の『5 技術的管理策に関する技術・手法（情報資産運用に関する管理）／マルウェアに対する保護』
最終更新
問われ方
- マルウェアの検出方法を、検体を実行するかどうかで選ぶ形
- 動的解析に当たる方法を選ぶ形
- 問われるとしたら：ランサムウェア対策のバックアップを選ぶ形
覚えること
- マルウェア対策ソフトの導入：利用する端末に入れて、常に有効にする
- マルウェア定義ファイル：既知のマルウェアの特徴を集めたデータ
- 定義ファイルは、新しいマルウェアに合わせて更新する
- 更新しないと、新しいマルウェアを検出できないおそれがある
- パターンマッチング法：定義ファイルと照合する。検体は実行しない
- パターンマッチング法は、定義ファイルに無い未知のマルウェアに弱い
- ビヘイビア法（振る舞い検知）：検体を実行し、動作を監視して判断する
- 未知マルウェア検出手法：定義ファイルに無い物を、動作などで見つける
- サンドボックス：隔離した環境で実行し、動作や通信を観測する（動的解析）
- 用語名：ヒューリスティック法
- 感染の疑い：ネットワークから切り離し、責任者に報告する
- ランサムウェア対策として、日頃からデータのバックアップを取る
- つながったままのバックアップは、同時に暗号化されるおそれがある
- 3-2-1ルール：データを3つ（元1つ＋バックアップ2つ）、2種類の媒体、1つは別の場所
- 離れた場所のコピーは、ネットワークから切り離すと暗号化されにくい
- イミュータブルバックアップ：定めた期間は、書き換えも削除もできない保存
- 定期的に復元を試し、戻せることを確かめておく
ひっかけ
- パターンマッチング法（実行しない）とビヘイビア法（実行する）の取りちがえ
- バックアップを取っただけでは、復元できるとは限らない
想定問題
4問（科目A（四択））。選ぶと、その場で正解と解説が開きます。
K さんが取る方法として、最も適切なものはどれか。
情報システム部の K さんは、取引先から届いた実行形式のファイルを、社内の端末で開く前に調べたい。マルウェア定義ファイルは最新で、マルウェア対策ソフトの検査では検出されなかった。出回り始めたばかりの新種で、定義ファイルに無い可能性がある。
正解：ア 本番の端末から切り離した検証用の環境で開き、ふるまいや通信を確かめる。
ポイント
定義ファイルに無い可能性があるファイルを、どう調べるかを問う問題です。
考え方と解き方
パターンマッチング法は、定義ファイルに無い物を検出できません。同じ方法を繰り返しても結果は変わりません。この立場なら、定義ファイルに頼らない方法を先に考えます。
- 定義ファイルで検出されなかったので、定義ファイルに頼らない方法が要ります。
- 隔離した環境で動作や通信を観測する方法は、未知のマルウェアにも使えます。切り離した環境なら、他の端末に影響しにくくなります。したがって、最も適切なのは ア です。
ほかの選択肢
- イ 別の製品でも、パターンマッチング法なら、パターンに無い新種は検出できないおそれがあります。検出されないことは、安全の証拠になりません。
- ウ 取引先が送ったと確認できても、取引先の端末が感染して送られた可能性は残ります。中身の安全は分かりません。
- エ 拡張子と形式が一致していても、中身が不正なプログラムの場合があります。安全の判断にはなりません。
覚えておくこと
- 未知マルウェア検出手法：定義ファイルに無い物を、動作などで見つける
- サンドボックス：隔離した環境で実行し、動作や通信を観測する（動的解析）
- パターンマッチング法は、定義ファイルに無い未知のマルウェアに弱い
（テーマ・覚えること）
L さんが見直しとして行う対応として、最も適切なものはどれか。
総務部の部長の L さんは、ファイルサーバーのデータを、毎日 1 回、同じ社内ネットワークに常時接続した NAS にバックアップしている。ランサムウェアの被害に備えて、バックアップの方法を見直したい。
正解：ウ コピーの 1 つを、ネットワークから切り離した媒体に保管し、定期的に復元できることを確かめる。
ポイント
ランサムウェア対策のバックアップを、立場と場面から選ぶ問題です。
考え方と解き方
つながったままのバックアップは、感染した時に同時に暗号化されるおそれがあります。回数や容量を増やしても、同じ場所にある限り、この問題は残ります。この立場なら、バックアップが残るかどうかを先に考えます。
- 保存先がネットワークに常時接続されたままだと、同時に暗号化されるおそれがあります。コピーの1つを切り離した媒体に置くと、残る可能性が高くなります。
- 復元を試して戻せることを確かめておくと、使える状態であると分かります。したがって、最も適切なのは ウ です。
ほかの選択肢
- ア 回数を増やしても、保存先が同じなら、同時に暗号化されるおそれは残ります。
- イ 容量や世代を増やしても、接続したままなら、同時に暗号化されるおそれは残ります。
- エ 時刻を変えても、終了後も接続したままなら、感染した時に暗号化されるおそれは残ります。
覚えておくこと
- つながったままのバックアップは、同時に暗号化されるおそれがある
- 離れた場所のコピーは、ネットワークから切り離すと暗号化されにくい
- 定期的に復元を試し、戻せることを確かめておく
（テーマ・覚えること）
マルウェアの対策と検出について、適切なものだけを全て挙げたものはどれか。
A 社の情報セキュリティ管理者の M さんは、従業員向けの資料に、次の a〜c を書いた。
- a マルウェア定義ファイルは、新しいマルウェアに合わせて更新する。
- b パターンマッチング法は、定義ファイルに無い未知のマルウェアを検出できないおそれがある。
- c 3-2-1ルールは、データを3つ（元1つ＋バックアップ2つ）持ち、2種類の媒体に保存し、1つを別の場所に置く。
正解：イ a、b、c
ポイント
定義ファイルの更新と、検出方法の特徴を問う問題です。
考え方と解き方
パターンマッチング法は定義ファイルが頼りで、定義ファイルに無い物には弱くなります。3-2-1 ルールは、3、2、1 の数が何を数えているかを取りちがえやすい所です。
- a は適切です。新しいマルウェアに合わせて更新しないと、検出できません。b は適切です。定義ファイルに無い物は、パターンが無いので検出できないおそれがあります。c は適切です。元のデータ1つとバックアップ2つで、3つになります。
- したがって、適切なのは a、b、c の全てで、イ です。
ほかの選択肢
- ア c も適切なので、a、b では組合せが合いません。
- ウ b も適切なので、a、c では組合せが合いません。
- エ a も適切なので、b、c では組合せが合いません。
覚えておくこと
- 定義ファイルは、新しいマルウェアに合わせて更新する
- パターンマッチング法は、定義ファイルに無い未知のマルウェアに弱い
- 3-2-1ルール：データを3つ（元1つ＋バックアップ2つ）、2種類の媒体、1つは別の場所
（テーマ・覚えること）
イミュータブルバックアップの説明として、最も適切なものはどれか。
正解：エ 保存したデータを、定めた期間は書き換えも削除もできない状態で保持する。
ポイント
イミュータブルバックアップの意味を、似た仕組みと区別して選ぶ問題です。
考え方と解き方
イミュータブルは、変更できないという意味です。複製や差分や上書きは、保存の効率や場所の話で、書き換えを防ぐ仕組みではありません。
- イミュータブルバックアップは、定めた期間は、書き換えも削除もできない状態で保持する保存です。ランサムウェアによる暗号化や削除からも守られます。
- したがって、最も適切なのは エ です。
ほかの選択肢
- ア 複数の拠点への自動の複製は、レプリケーションの説明です。同期していると、暗号化も複製されるおそれがあります。
- イ 変更部分だけの取得は、差分バックアップや増分バックアップの説明です。書き換えを防ぐ仕組みではありません。
- ウ 前の世代を上書きする方法は、書き換えを許す仕組みです。イミュータブルとは反対です。
覚えておくこと
- イミュータブルバックアップ：定めた期間は、書き換えも削除もできない保存
（テーマ・覚えること）
このテーマの過去問
過去問を解く（2問）同じ分野のテーマ（セキュリティ）
- 脅威の種類・脆弱性・不正の動機今の制度の過去問（6回分）では、不正のトライアングル、ソーシャルエンジニアリング、ビジネスメール詐欺（BEC）の説明が、合わせて3問出ています。
- マルウェアの種類（ランサムウェア・ボット・トロイの木馬）今の制度の過去問（6回分）では、ルートキットの特徴とボットネットの C&C サーバの役割が、1問ずつ、合わせて2問出ています。
- 攻撃の流れと認証情報を狙う攻撃（総当たり・リプレイ）今の制度の過去問（6回分）では、サイバーキルチェーンの説明とパスワードリスト攻撃の説明が、1問ずつ、合わせて2問出ています。
- アプリの不備を狙う攻撃とDoS攻撃今の制度の過去問（6回分）では、ランダムサブドメイン攻撃で起きることが1問出ています。
- 信頼を悪用する攻撃（フィッシング・標的型・中間者）今の制度の過去問（6回分）では、DNS キャッシュポイズニングが2問、SEO ポイズニングが1問、合わせて3問出ています。
- AIを使う攻撃・AIへの攻撃・サプライチェーン攻撃・ゼロデイ攻撃今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティの考え方（CIA・ゼロトラスト・責任共有）今の制度の過去問（6回分）では、ゼロトラストの説明を選ぶ問題が1問出ています。
- 情報資産とリスクアセスメント（台帳・リスクレベル）今の制度の過去問（6回分）では、リスクアセスメントのプロセスやリスクレベルの定義が3問出ています。
- リスク対応（回避・低減・移転・保有）今の制度の過去問（6回分）では、残留リスクとリスク受容の承認を選ぶ問題が2問出ています。
- 情報セキュリティ方針と諸規程今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュリティ関連の組織・機関（CSIRT・SOC・JPCERT/CC）今の制度の過去問（6回分）では、組織内 CSIRT の構築を支援する資料の選択と、CRYPTREC の役割が、1問ずつ、合わせて2問出ています。
- 届出制度・評価制度・ガイドライン（ISMAP・CSF）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 情報セキュリティマネジメントシステム（ISMS・JIS Q 27001）今の制度の過去問（6回分）では、是正処置の定義を選ぶ問題が1問出ています。
- 組織的管理策（ISMSの管理策の区分。資産管理・供給者管理・インシデント管理）今の制度の過去問（6回分）では、デジタルフォレンジックスの説明を選ぶ問題が1問出ています。
- 人的・物理的・技術的管理策の分類（ISMSの管理策の区分）今の制度の過去問（6回分）では、サポートユーティリティの例を選ぶ問題が1問出ています。
- 脅威インテリジェンスとインシデント管理今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 人的対策（内部不正防止・訓練・守秘）今の制度の過去問（6回分）では、内部不正防止ガイドラインに照らした、退職者に関する対策を選ぶ問題が1問出ています。
- 物理的対策とモバイル機器の管理今の制度の過去問（6回分）では、アンチパスバックの仕組みを選ぶ問題が1問出ています。
- アクセス制限と暗号化（最小特権・ストレージ暗号化）今の制度の過去問（6回分）では、セキュア OS のアクセス制御と管理者権限の問題、ストレージの抜き取りへの対策の問題が 2 問出ています。
- 利用者認証（多要素認証・SSO・ID連携）今の制度の過去問（6回分）では、認証の方式を選ぶ問題が3問出ています。
- 生体認証とパスワードレス認証（FRR・FAR・パスキー）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- 脆弱性管理とログ管理（パッチ・SIEM・EDR）今の制度の過去問（6回分）では、SIEM 製品の効果とデータベースの監査ログの目的が2問出ています。
- ネットワークの防御（FW・IDS/IPS・VPN・WAF）今の制度の過去問（6回分）では、DMZ の説明、DMZ 上の仮想デスクトップの効果、CAPTCHA の説明が3問出ています。
- 通信の保護規格（TLS・IPsec・WPA3・SPF/DKIM）今の制度の過去問（6回分）では、TLS のサーバー証明書や HTTPS、SPF、SMTP-AUTH を選ぶ問題が 5 問出ています。
- 暗号方式（共通鍵・公開鍵・ハイブリッド・鍵管理）今の制度の過去問（6回分）では、共通鍵暗号方式と公開鍵暗号方式の特徴、同じ鍵を使う暗号方式、ハイブリッド暗号の特徴が3問出ています。
- ハッシュ関数とデジタル署名（改ざん検知）今の制度の過去問（6回分）では、ハッシュ値の性質や使う目的、デジタル署名の鍵、メッセージ認証符号の問題が 4 問出ています。
- AIで守る技術とAIを守る対策（RAG・プロンプトインジェクション対策）今の制度の過去問には出ていませんが、新しいシラバス案（Ver.0.1）にある項目です。問われるとしたらの形でまとめています。
- セキュア開発・IoT・脆弱性評価（CVSS・CVE・診断）今の制度の過去問（6回分）では、SQLインジェクションの対策、CVSS の評価基準、ホワイトボックステスト、ポートスキャナの利用目的が4問出ています。