9章　マルウェア検体調査

はじめに

この章では、マルウェア感染端末などから保全したマルウェア検体（マルウェアの実行ファイル）の調査方法を紹介します。 この章を学習することで、マルウェア解析環境の構築に関する知識、マルウェアの簡易的な解析手法、それによって得られる情報の活用方法などを学ぶことができます。

「1 表層解析Ⅰ（ハッシュ値調査）」では、マルウェアを調査するための安全な環境構築方法を紹介し、ハッシュ値によるマルウェアの識別方法の学習とハンズオンを行います。

「2 表層解析Ⅱ（文字列、メタデータ）」では、マルウェアの内部に含まれる、文字列情報やメタデータ情報の抽出と活用方法に関する学習とハンズオンを行います。

この章で紹介するマルウェアの調査手法は、「表層解析」と呼ばれるものです。インシデントレスポンスでは、迅速にマルウェアの感染原因や被害状況を調査して次の行動を判断しなくてはなりません。表層解析は、簡易な方法で短時間に、できる限りマルウェアの正体を明らかにしようと試みる調査方法です。専門的なスキルと時間を要する「動的解析」「静的解析」に先行して行うようにしましょう。　

なお、次の章「マルウェア関連情報収集」では、マルウェアのハッシュ値等を用いてインターネット上のマルウェア関連情報を調査する手法や、インターネット上の「サンドボックス」サービスを利用した簡易的な動的解析の手法などを紹介します。この章と併せて学習することを推奨します。