問題 No.4282
OSの奥深く深部に潜伏し、管理者権限を不正に奪取した上で、自身の存在やマルウェアの活動を管理者やセキュリティソフトから隠蔽する機能を持つプログラムであるルートキットに関する記述として不適切なものはどれか。
【正解の解説】
ルートキットは、通常のOSのAPIやコマンドを改ざんしてシステム情報を偽装するため、最新のウイルス対策ソフトであれば、改ざんされたファイルやメモリ領域をスキャンするだけで100%確実にその存在を検知できる。
ルートキットは警察官や鑑識の目を完全に欺く名優のようなものであり、OSの基本命令そのものを偽物にすり替えてしまうため、表面的なスキャンだけで100%見抜くことは現実的に不可能です。セキュリティソフト自体が見ている情報がすでに書き換えられているため、巧妙に隠れる悪意あるプログラムを完全には見つけられないという点が、この問題の最も重要な罠となっています。
スポンサーリンク
【その他の選択肢の解説】
ルートキットは、カーネルモードまたはユーザモードで動作し、OSの標準的な機能を乗っ取ることで自己の存在を隠すため、通常のシステム管理ツールを用いた目視確認だけでは発見が極めて困難である。
ルートキットは会社の裏口の鍵をこっそり付け替えるようなものであり、普通の管理ツールを使って覗き見ても、犯人が巧妙に作り出した偽の景色を見せられるだけで異常に気づけません。この性質により、目視や通常のチェック手法だけでの発見が極めて困難になるという実務上の大きな脅威を正しく描写しています。
ルートキットは、一度システムに導入されると正規の管理者アカウントと同等の特権レベルで動作するため、セキュリティログやイベントビューアの記録自体を改ざんして足跡を消すことが可能である。
金庫の暗号キーを盗んで中の通帳の記録を書き換えてしまう泥棒のようなものであり、システムを監視している警備員用の日誌そのものを自分の都合の良いように書き換えられてしまいます。そのため、管理者が後からイベントビューアを確認しても、まるで何事も起きなかったかのように偽装されてしまうという実被害を的確に突いた記述です。
ルートキットは、ファームウェアやハードウェアの脆弱性を悪用してデバイスの奥深くに常駐する場合があり、単純なOSの再インストールやストレージの初期化だけでは完全に駆除できないことがある。
パソコンのOSという表面的な洋服を着替えるだけではなく、身体の骨の髄や遺伝子レベルまでウイルスが深く浸食しているような状態を指しています。そのため、ストレージを初期化してOSを入れ直しただけでは生き残り続けるものもあり、ハードウェアのファームウェア自体を焼き直すなどの高度な対策が必要になるという深い知識を問う選択肢です。