脆弱性 B は、エンド ユーザーが電子メールで送られてくる悪意のあるリンクを頻繁にクリックすることを知っているアナリストが最も懸念すべき脆弱性です。脆弱性 B は、Microsoft Outlook のリモート コード実行の脆弱性であり、攻撃者は特別に細工した電子メール メッセージを送信することで、ターゲット システム上で任意のコードを実行できます。この脆弱性は、悪用をトリガーするためにユーザーの操作や添付ファイルを開く必要がないため、非常に危険です。攻撃者は被害者の Outlook アカウントに電子メールを送信するだけで、Outlook が Exchange サーバーに接続するとコードが自動的に実行されます。この脆弱性の重大度は 10 点満点中 9.8 点と高く、サポートされているすべてのバージョンの Outlook に影響します。
したがって、アナリストはワークステーションの潜在的な侵害を防ぐために、この脆弱性をできるだけ早く修正することを優先する必要があります。

C: 不可能な地理的速度: これは、通常の人間の移動では不可能な時間枠内で、単一のユーザーのアカウントがさまざまな地理的場所からアクセスされるイベントです。ログでは、ユーザー「jdoe」が米国からアクセスし、数分以内にロシアからアクセスしていることがわかります。これは、何らかの自動システムを使用しないか、アカウントの資格情報がさまざまな場所でさまざまな個人によって使用されている場合を除いて、事実上不可能です。
B: プッシュ フィッシング: これはプッシュ フィッシングの兆候である可能性もあります。プッシュ フィッシングでは、ユーザーが開始していない多要素認証要求を承認するように誘導されます。これはログから直接は明らかではありませんが、ユーザーが開始していない MFA 要求を受信し、リソースにアクセスする意図がないにもかかわらず承認されている場合は、プッシュ フィッシングであると推測できます。

正解はA.121.19.30.221です。
ログ ファイルと組織の優先順位に基づくと、追加調査が必要なホストは 121.19.30.221 です。これは、機密データを含むファイルにアクセスした唯一のホストであり、パートナー ベンダーの範囲外であるためです。
The log files show the following information:
The IP addresses of the hosts that accessed the web server
The date and time of the access
The file path of the requested resource
The number of bytes transferred
The organization's priorities are:
Unauthorized data disclosure is more critical than denial of service attempts Denial of service attempts are more important than ensuring vendor data access According to these priorities, the most serious threat to the organization is unauthorized data disclosure, which occurs when sensitive, protected, or confidential data is copied, transmitted, viewed, stolen, altered, or used by an individual unauthorized to do so123. Therefore, the host that accessed a file containing sensitive data and is not from the partner vendor's range poses the highest risk to the organization.
The file that contains sensitive data is /reports/2023/financials.pdf, as indicated by its name and path. This file was accessed by two hosts: 121.19.30.221 and 216.122.5.5. However, only 121.19.30.221 is not from the partner vendor's range, which is 216.122.5.x. Therefore, 121.19.30.221 is a potential unauthorized data disclosure threat and warrants additional investigation.
The other hosts do not warrant additional investigation based on the log files and the organization's priorities.
Host 134.17.188.5 accessed /index.html multiple times in a short period of time, which could indicate a denial of service attempt by flooding the web server with requests45. However, denial of service attempts are less critical than unauthorized data disclosure according to the organization's priorities, and there is no evidence that this host succeeded in disrupting the web server's normal operations.
Host 202.180.1582 accessed /images/logo.png once, which does not indicate any malicious activity or threat to the organization.
Host 216.122.5.5 accessed /reports/2023/financials.pdf once, which could indicate unauthorized data disclosure if it was not authorized to do so. However, this host is from the partner vendor's range, which is required to have access to monthly reports and is the only external vendor with authorized access according to the organization's requirements.
Therefore, based on the log files and the organization's priorities, host 121.19.30.221 warrants additional investigation as it poses the highest risk of unauthorized data disclosure to the organization.

サーバーの隔離は、影響を受けたサーバーをネットワークの残りの部分から分離し、ランサムウェアが他のシステムやデータに広がるのを防ぐため、すぐに実行すべき最善のアクションです。サーバーの隔離により、ランサムウェア攻撃の証拠も保存され、フォレンジック分析や法執行機関の調査に役立ちます。その他のアクションは、ランサムウェアの感染を止められない場合や、貴重な証拠を破壊する可能性があるため、サーバーの隔離ほど緊急ではありません。サーバーをシャットダウンしてもランサムウェアが削除されない可能性があり、ランサムウェアによるデータ削除メカニズムがトリガーされる可能性があります。サーバーを再イメージ化すると、機能が回復する可能性がありますが、ランサムウェアの痕跡も消去され、暗号化されたデータの回復が不可能になります。OS を最新バージョンに更新すると、一部の脆弱性が修正される可能性がありますが、ランサムウェアが削除されたり、データが復号化されたりすることはありません。公式リファレンス:
https://www.cisa.gov/stopransomware/ransomware-guide
https://www.cisa.gov/sites/default/files/publications/Ransomware_Executive_One-Pager_and_Technical_Document-FINAL.pdf
https://www.cisa.gov/stopransomware/ive-been-hit-ransomware

コンピュータ システムで最初に収集する必要がある最も不安定なタイプの証拠は、実行中のプロセスです。実行中のプロセスとは、現在コンピュータ システムで実行されており、メモリ、CPU、ディスク領域、ネットワーク帯域幅などのリソースを使用しているプログラムまたはアプリケーションのことです。実行中のプロセスは、システムのシャットダウン、再起動、ログオフ、またはクラッシュ時に急速に変化したり、完全に消えたりする可能性があるため、非常に不安定です。実行中のプロセスは、それらを変更または終了する可能性のある他のプロセスまたはユーザーの影響を受けることもあります。したがって、実行中のプロセスは、コンピュータ システム内の他のタイプの証拠よりも先に収集する必要があります。