직원의 PC에서 파일 확장자가 차례로 바뀌고 몸값을 요구하는 화면이 표시되었다. 이 직원이 먼저 해야 할 대응으로 가장 적절한 것은?

정답: A. LAN 케이블을 뽑거나 무선 LAN을 끄는 등으로 PC를 네트워크에서 분리하고, 화면 상태 등을 기록한 뒤 정해진 창구(CSIRT 등)에 즉시 보고한다

랜섬웨어 감염이 의심될 때는 다른 PC나 파일 서버로 피해가 퍼지지 않도록 먼저 네트워크에서 분리합니다. 그런 다음 표시된 화면, 알아챈 시각, 직전에 연 메일이나 파일 등을 기록하고, 조직에서 정한 창구(CSIRT나 정보 시스템 부서)에 신속하게 보고합니다. 전원을 끌지 여부는 메모리상의 조사 단서가 사라질 수도 있으므로 조직의 절차나 창구의 지시에 따릅니다. 바로 초기화하면 침입 경로나 그 밖에 무엇을 도난당했는지를 조사할 단서(로그나 파일의 흔적)가 사라지고, 같은 입구로 다시 침입당할 우려가 남습니다. 보고를 늦추면 그 사이에 피해가 퍼집니다. 조사에서는 각 기기의 로그를 대조하여 무슨 일이 일어났는지를 시간순으로 재구성하므로, 평소에 각 기기의 시각을 맞추고(NTP 등), 로그를 변조되기 어려운 별도의 장소에 일정 기간 보존해 두는 것이 중요합니다.