침입한 공격자가 독자적인 악성코드를 되도록 사용하지 않고, PowerShell이나 WMI, 표준 원격 관리 기능 등 원래 OS에 들어 있는 정규 도구로 활동하는 수법을 '환경 기생형(Living off the Land)'이라고 한다. 이 수법에 대한 대책의 사고방식으로 가장 적절한 것은?

정답: C. 정규 도구가 누구에 의해, 어떤 인수로, 어떤 부모 프로세스에서 실행되었는지를 기록하여 평소와 다른 사용 방식을 탐지하고, 관리용 도구를 사용할 수 있는 사람이나 단말을 좁힌다

환경 기생형 공격에서는 사용되는 프로그램 자체가 정규 서명이 있는 것이므로, 파일의 특징으로 알려진 악성코드를 식별하는 방법으로는 탐지할 수 없습니다. 그래서 EDR이나 OS의 로그(PowerShell 스크립트 기록이나 프로세스 시작 기록 등)로 명령의 인수와 부모 자식 관계를 수집하고, '문서 파일을 연 애플리케이션에서 PowerShell이 시작되었다', '인코딩된 긴 명령이 실행되었다' 같은 평소 업무와 다른 사용 방식을 단서로 탐지합니다. 아울러 관리용 도구를 사용할 수 있는 사용자나 단말을 제한하고, 실행할 수 있는 애플리케이션을 허가한 것으로만 좁혀서 공격자가 쓸 수 있는 도구를 줄입니다.