EDR이 업무 단말에서 자격 증명 덤프 도구 실행을 탐지했다. 사용자 영향이 크더라도 우선 조치는?

1. 1

   증거 수집 전에 단말을 즉시 재부팅해 메모리와 실행 프로세스를 초기화한다.

2. 2

   탐지된 프로세스만 종료하고 네트워크 연결과 사용 계정 세션은 유지한다.

3. 3

   단말을 네트워크 격리하고 휘발성 증거를 보존한 뒤 노출 계정·세션 범위를 확인한다.

4. 4

   해당 사용자의 비밀번호만 바꾸고 같은 자격 증명을 쓴 서비스와 다른 단말은 조사하지 않는다.