일반 계정 로그인 직후 sudo 실패, 새 setuid 파일 생성, root 셸 실행이 이어졌다. 가장 적절한 판정은?

1. 1

   sudo 실패만 낮은 위험으로 닫고 직후 생성된 setuid 파일과 root 셸은 서로 다른 사건으로 처리한다.

2. 2

   root 셸이 실행됐으므로 앞선 일반 계정과 파일 생성 주체·시각을 확인하지 않고 정상 관리로 판정한다.

3. 3

   오탐을 줄이기 위해 setuid 파일의 소유자·해시·생성 시각과 관련 감사 로그를 삭제한다.

4. 4

   동일 주체·호스트·시간창의 사건을 권한 상승 연쇄로 묶어 격리와 증거 보존·계정 조사를 시작한다.