암호화된 서버가 실행 중이고 메모리에만 복호화 키와 공격 프로세스가 남아 있을 가능성이 높다. 수집 순서로 옳은 것은?

1. 1

   원본 디스크에서 직접 파일을 수정하며 조사한다.

   오답 이유원본 수정은 증거 동일성과 재현성을 훼손한다.
2. 2

   업무·확산 위험을 통제하면서 메모리·연결·프로세스 등 휘발성 자료를 먼저 보존하고 이후 디스크를 이미징한다.

   정답 근거휘발성 가치와 운영 위험을 함께 고려한 증거 수집 순서다.
3. 3

   즉시 전원을 뽑고 메모리 키를 잃은 뒤 분석한다.

   오답 이유전원 차단이 암호키와 메모리 증거를 즉시 소실시킬 수 있다.
4. 4

   공격자 프로세스를 먼저 삭제하고 기록하지 않는다.

   오답 이유삭제 전 증거와 행위를 보존하지 않으면 원인 분석이 어렵다.