방화벽과 단말 로그에 내부 10.0.0.5가 외부 203.0.113.8:443으로 작은 데이터를 주기적으로 전송한 기록이 있다. 단말에서 수집한 TLS 접속 도메인·인증서 정보도 사용할 수 있다. 추가 분석으로 가장 적절한 것은?

정답 3번

명령제어 비콘은 작은 요청을 일정한 간격으로 보낼 수 있지만 정상 상태 확인도 비슷하므로 주기성 하나로 침해를 확정하지 않는다. 접속 도메인·인증서·목적지 이력과 통신을 만든 프로세스를 묶어 분석해야 한다. 443번 사용이나 유효한 인증서는 악성 목적이 없다는 보증이 아니다. TLS 1.3의 인증서 메시지와 암호화된 ClientHello의 내부 이름은 수동 패킷 캡처만으로 확인하지 못할 수 있다. 이 문항은 단말 TLS 기록도 확보했다는 조건에서 사용 가능한 메타데이터를 상관분석하는 경우다.