検出サンプリングは、母集団内の予測エラー率が非常に低い場合に使用される統計サンプリングの一種です1。この方法は、母集団内の属性または条件の少なくとも 1 つのインスタンスを検出するように設計されています1。監査では、不正行為や規則や規制への違反を発見するためによく使用されます1。
参考文献:
* サンプリング方法とは何ですか? 最適な方法を選択するにはどうすればよいでしょうか?

セクション: 情報資産の保護
説明
Explanation:
アクティブ モニターは、DoS および読み取り専用メモリ (ROM) BIOS 呼び出しを解釈し、マルウェアのようなアクションを探します。
アクティブ モニターは、ユーザー要求とプログラムまたはマルウェア要求を区別できないため、問題が発生する可能性があります。その結果、ディスクのフォーマットやファイルまたはファイル セットの削除などのアクションをユーザーに確認するよう求められます。
CISA試験では、以下のさまざまな種類のマルウェア対策を知っておく必要があります。
A. スキャナーは、典型的なマルウェア プログラムであるシグネチャと呼ばれるビットのシーケンスを探します。
スキャナーには主に2つの種類があります
1. マルウェア マスクまたはシグネチャ - マルウェア対策スキャナは、マルウェア マスクまたはシグネチャに基づいて、ファイル、セクター、およびシステム メモリをチェックし、既知および新しい (スキャナにとって未知の) マルウェアを検出します。マルウェア マスクまたはシグネチャは、マルウェアに属すると認識される特定のコード文字列です。ポリモーフィック マルウェアの場合、スキャナには、感染したファイルに存在する可能性のあるシグネチャのすべての可能な組み合わせをチェックするアルゴリズムが備わっている場合があります。
2. ヒューリスティック スキャナ - スキャン対象のコード内の命令を分析し、統計的確率に基づいて、悪意のあるコードが含まれているかどうかを判断します。ヒューリスティック スキャンの結果は、マルウェアが存在する可能性があること、つまり感染している可能性があることを示す場合があります。ヒューリスティック スキャナは、高レベルの誤検知エラーを生成する傾向があります (実際にはマルウェアが存在しないのに、マルウェアが存在する可能性があると示します)。スキャナは、メモリ ディスクのブート セクター、実行可能ファイル、データ ファイル、およびコマンド ファイルを調べて、既知のマルウェアと一致するビット パターンを探します。したがって、スキャナは、効果を維持するために定期的に更新する必要があります。
B. イミュナイザー - マルウェアが自分自身を追加するのと同じ方法で、ファイルに自分自身の一部を追加することでマルウェアを防御します。イミュナイザーは継続的にファイルの変更をチェックし、変更があった場合はマルウェアの動作として報告します。他の種類のイミュナイザーは特定のマルウェアに焦点を合わせており、マルウェアがすでにコンピューターに感染しているという印象を与えることで機能します。この方法は、すべての既知のマルウェアに対してファイルを免疫化することはできないため、必ずしも実用的ではありません。
C. 動作ブロッカー - ブート セクターやマスター ブート レコードへの書き込み、実行可能ファイルへの変更など、潜在的な異常動作の検出に重点を置いています。ブロッカーは、マルウェアを早期に検出できる可能性があります。ほとんどのハードウェア ベースのマルウェア対策メカニズムは、この概念に基づいています。
D. 整合性 CRC チェッカー - マルウェアのない既知のプログラムに対して 2 進数を計算し、データベース ファイルに保存します。この数値は巡回冗長検査 (CRC) と呼ばれます。以降のスキャンでは、そのプログラムが呼び出されて実行され、データベースと比較してファイルの変更がチェックされ、変更があった場合は感染の可能性が報告されます。一致は感染なし、不一致はプログラムに変更があったことを意味します。プログラムに変更があった場合、プログラム内にマルウェアが含まれている可能性があります。これらのスキャナーは感染の検出に効果的ですが、感染が発生した後でしか検出できません。また、CRC チェッカーは、そもそもファイルがマルウェアフリーであると想定しているため、ファイルへのその後の変更しか検出できません。したがって、マルウェアに感染していてデータベースに記録されていない新しいファイルに対しては効果がありません。整合性チェッカーは、実行可能プログラムとブート セクターがほとんど変更されない (またはまったく変更されない) という事実を利用します。
誤った回答は次のとおりです。
スキャナー - 典型的なマルウェア プログラムであるシグネチャと呼ばれるビットのシーケンスを探します。
イミュナイザー - マルウェアが自分自身を追加するのと同じ方法で、ファイルに自分自身の一部を追加することでマルウェアから防御します。イミュナイザーは継続的にファイルの変更をチェックし、変更があった場合はマルウェアの動作として報告します。
動作ブロッカー - ブート セクターやマスター ブート レコードへの書き込み、実行可能ファイルへの変更など、潜在的な異常動作の検出に重点を置いています。ブロッカーは、マルウェアを早期に検出できる可能性があります。ほとんどのハードウェア ベースのマルウェア対策メカニズムは、この概念に基づいています。
参照：
CISA レビューマニュアル 2014 ページ番号 354 および 355

セクション: ITのガバナンスと管理