不審な外部通信が見つかったPCを、マルウェア対策ソフトの定義ファイルでフルスキャンしたが、 何も検出されなかった。通信の記録からはファイルレスマルウェアが疑われている。 この結果の扱いとして最も適切なものはどれか。

正解：ア

各選択肢の解説

1. ア検出なしは感染していない根拠にならないため、標準ツールの実行記録や通信を調べる。

   正解。ファイルレスマルウェアは、照合の対象になる不正なファイルを残さず、 OS標準のツールを使ってメモリ上で動きます。スキャンの結果ではなく、 ツールが何を実行したか、どこと通信したかという動きの記録が手掛かりになります。

2. イ定義ファイルで検出されなかったので、感染はなかったものとして業務に戻す。

   誤り。定義ファイルによる検査は、ファイルに含まれる既知の特徴と照合する方法です。 照合する不正なファイルがなければ、感染していても検出されません。 不審な通信という兆候が残ったまま、検出なしだけで判断を終えています。

3. ウ定義ファイルを最新にして再度スキャンし、検出されなければ感染なしと判断する。

   誤り。定義ファイルを新しくすると、新しく見つかった既知のマルウェアは検出できるように なります。しかし、ファイルを調べるという方法そのものは変わらないので、 ファイルを残さない手口に対しては、何度スキャンしても結論の根拠になりません。

4. エディスク内から不審な実行ファイルを探し出して削除すれば、対応は完了とする。

   誤り。これはファイルを置くタイプのマルウェアへの対応です。ファイルレスマルウェアは 実行ファイルをディスクに置かないので、探しても見つからないか、見つけたものを消しても 本体が残っているおそれがあります。

理解を深めるために