LSASS 메모리 덤프 도구 실행 뒤 다수 계정으로 원격 로그인했다. 우선 대응은?

1. 1

   호스트를 격리하고 노출 가능 계정·세션을 무효화한 뒤 원격 로그인 범위와 추가 침해를 조사한다.

2. 2

   의심 호스트만 재부팅하고 메모리·로그를 보존하지 않은 채 기존 계정 자격증명은 유지한다.

3. 3

   원격 로그인에 사용된 한 계정만 잠그고 LSASS에서 노출될 수 있는 다른 자격증명은 조사하지 않는다.

4. 4

   공격 흐름을 더 관찰하기 위해 내부 원격 로그인을 제한하지 않고 자격증명 회전도 미룬다.