한 리눅스 서버에서 다음 이벤트가 같은 2분 안에 순서대로 나타났다. ① 다수의 SSH 인증 실패 ② 동일 출발지에서 계정 dev 로그인 성공 ③ dev가 sudo로 /usr/bin/vim 실행 ④ 곧바로 root 권한 셸 프로세스 생성 가장 우선할 분석은?

1. 1

   인증 실패·성공의 출발지와 sudoers의 vim 허용 범위를 묶어 권한 우회 가능성을 조사한다.

2. 2

   dev의 로그인 성공이 확인되었으므로 이후 root 셸도 해당 사용자의 정상 관리 작업으로 분류한다.

3. 3

   vim 실행파일의 해시가 배포본과 일치하는지만 검사해 root 셸 생성의 정당성을 판단한다.

4. 4

   SSH 실패 횟수와 차단 임계치만 비교하고 성공 세션에서 실행한 sudo 명령은 분석 대상에서 제외한다.