프로세스 로그에 `winword.exe → powershell.exe -enc ... → rundll32.exe`가 나타났고 사용자는 문서를 열었다. 가장 합리적인 판단과 조치는?

1. 1

   winword.exe의 서명이 유효하면 자식 프로세스의 명령행 검사는 생략한다.

2. 2

   rundll32.exe의 해시가 정상 배포본과 같으면 로드한 DLL과 인수는 확인하지 않는다.

3. 3

   문서 파일이 백신에서 탐지되지 않았다면 이후 생성된 프로세스 조사를 종료한다.

4. 4

   문서 기반 코드 실행 의심 흐름이므로 명령을 디코딩하고 파일·네트워크·자격증명 행위를 격리 상태에서 연계 분석한다.