正解：イ
各選択肢の解説
ア定義ファイルを使わない方式なので、更新しなくても検出力は落ちない。
誤り。これはパターンマッチング法とは正反対の誤解です。パターンマッチング法は 定義ファイルに載った特徴と照合する方式そのものなので、定義ファイルが古ければ 新しいマルウェアを見つけられません。「更新が命」の方式だと覚えます。
イ既知のものは確実に見つけるが、定義ファイルにない新種や亜種を見逃しやすい。
正解。既に知られたマルウェアの特徴（パターン）と一致するかを調べる方式なので、 一覧に載っていないものは一致せず、すり抜けます。だから定義ファイルの更新が欠かせません。
ウ未知のものも見つけられる一方、正常なプログラムを誤って検知しやすい。
誤り。これはヒューリスティック法の特徴です。どちらも実行前にファイルを調べるため 混同されますが、ヒューリスティック法は「怪しい命令の書き方」から推定するので 未知のものにも効く代わりに誤検知が出ます。照合か推定かで区別します。
エ疑わしいものを実際に動作させ、その振る舞いを観察して判定する。
誤り。これはビヘイビア法（振る舞い検知）の説明です。どちらも検出方式の名前として 並んで出題されますが、ビヘイビア法は動かしたときの挙動を見ます。 ファイルの特徴を一覧と突き合わせるだけのパターンマッチング法とは材料が違います。
理解を深めるために
「手配写真」と見比べる検査
パターンマッチング法は、警察の手配写真と通行人の顔を見比べるようなものです。 写真がある人物なら確実に見つけられますが、写真が出回っていない新顔や、 変装した人物（亜種）は素通りしてしまいます。
マルウェア対策ソフトにとっての手配写真がマルウェア定義ファイル（パターンファイル）です。 既知のマルウェアの特徴的なバイト列などが登録されていて、検査対象のファイルと照合します。
なぜ定義ファイルの更新が欠かせないのか
- 照合できるのは、定義ファイルに登録済みのマルウェアだけ
- 新種は毎日のように作られ、既存のものを少し書き換えた亜種も多い
- そのため、ベンダーが配布する最新の定義ファイルを自動で更新する設定にしておくのが基本
弱点を補うために、実際の製品はパターンマッチング法だけでなく、ヒューリスティック法や ビヘイビア法を組み合わせて使っています。どれか一つで万全、という方式はありません。
検出方式の違い
| 方式 | 判定の材料 | 得意・不得意 |
|---|---|---|
| パターンマッチング法 | 定義ファイルの既知の特徴と一致するか | 既知には確実、新種・亜種に弱い |
| ヒューリスティック法 | 怪しい命令の書き方から推定 | 未知にも効くが誤検知がある |
| ビヘイビア法 | 実際に動かしたときの振る舞い | 未知にも効くが判定に手間がかかる |
試験では「既知」「定義ファイル」「新種に弱い」とあればパターンマッチング法、 「未知も検出」「推定」とあればヒューリスティック法、「動作」「振る舞い」とあれば ビヘイビア法と見分けます。