디스크 악성 파일이 발견되지 않았지만 WMI 영구 이벤트 구독이 특정 스크립트를 실행한다. 설명으로 옳은 것은?

1. 1

   정상 관리 기능에 지속성 구성을 남긴 파일리스 행위일 수 있어 WMI 저장소·이벤트·실행 계보를 조사한다.

2. 2

   디스크 파일이 없으므로 WMI 구독과 스크립트 실행 로그는 정상으로 분류한다.

3. 3

   의심 프로세스만 종료하고 영구 이벤트 구독과 실행 소비자는 남겨 둔다.

4. 4

   WMI 감사 로그를 끈 뒤 재부팅해 같은 구독이 다시 실행되는지 확인한다.