説明
この場合にアナリストが最初に行うべきアクションは、フォレンジック分析のために仮想サーバーのクローンを作成することです。
仮想サーバーのクローン作成とは、特定の時点におけるサーバーのデータと状態の正確なコピー、つまりイメージを作成することです。仮想サーバーのクローン作成は、セキュリティインシデントに関連する証拠や情報の保存と保護に役立つだけでなく、証拠の改ざん、汚染、破壊を防ぐこともできます。また、仮想サーバーのクローン作成により、アナリストは元のサーバーやその運用に影響を与えることなく、インシデントを安全に分析・調査できるようになります。

サーバーの隔離は、影響を受けたサーバーをネットワークの他の部分から隔離し、ランサムウェアが他のシステムやデータに拡散するのを防ぐため、直ちに実行すべき最善の措置です。また、サーバーの隔離は、ランサムウェア攻撃の証拠を保存することにもつながり、フォレンジック分析や法執行機関の捜査に役立ちます。その他の措置は、ランサムウェアの感染を阻止できない場合や、貴重な証拠を破壊してしまう可能性があるため、サーバーの隔離ほど緊急性はありません。サーバーのシャットダウンではランサムウェアが削除されない可能性があり、ランサムウェアによるデータ削除メカニズムが作動する可能性があります。サーバーの再イメージ化は機能を回復させる可能性がありますが、ランサムウェアの痕跡はすべて消去され、暗号化されたデータの復旧は不可能になります。OSを最新バージョンにアップデートすると、一部の脆弱性が修正される可能性がありますが、ランサムウェアの削除やデータの復号は行われません。公式リファレンス：
https://www.cisa.gov/stopransomware/ransomware-guide
https://www.cisa.gov/sites/default/files/publications/Ransomware_Executive_One-Pager_and_Technical_D
https://www.cisa.gov/stopransomware/ive-been-hit-ransomware

正解はA。バックドアを埋め込んだ。
バックドアとは、システムやネットワークの所有者の許可や知識なしに、権限のないユーザーがアクセスできるようにする方法です。バックドアは、ソフトウェアの脆弱性を悪用したり、マルウェアを使用したり、デバイスのハードウェアやファームウェアを物理的に改変したりすることでインストールされます。バックドアは、データの窃取、マルウェアのインストール、コマンドの実行、システムの制御など、さまざまな悪意のある目的で使用される可能性があります。
このケースでは、コンサルタントはHTMLとPHPのコードスニペットを用いてウェブサイトにバックドアを埋め込み、シャットダウンボタンの画像と「終了」という警告メッセージを表示させました。しかし、このコードはサーバーのリモートアドレスもエコーするため、訪問者のIPアドレスが攻撃者に送信されてしまいます。こうして攻撃者はウェブサイトの訪問者を特定し、標的にすることで、そのIPアドレスを利用してさらなる攻撃を開始したり、デバイスにアクセスしたりすることが可能になります。
このコードスニペットはクリックジャッキング攻撃の一例です。クリックジャッキング攻撃はインターフェースベースの攻撃の一種で、ユーザーを誘導してウェブページ上の隠された要素や偽装された要素をクリックさせます。しかし、クリックジャッキングはコンサルタントの主な目的ではなく、バックドアを埋め込むための手段です。したがって、選択肢Cは誤りです。
選択肢Bも不正解です。権限昇格とは、攻撃者がシステムまたはネットワーク上で本来持つべき権限よりも高い権限、あるいはより多くの権限を取得できる攻撃手法です。権限昇格は、ソフトウェアの脆弱性を悪用したり、マルウェアを使用したり、不適切な設定や脆弱なアクセス制御を悪用したりすることで実現されます。しかしながら、コンサルタントがウェブサイト上で権限昇格を実装したり、昇格した権限を取得したという証拠はありません。
選択肢Dも不正解です。パッチ適用とは、ソフトウェアにアップデートを適用してエラーを修正したり、パフォーマンスを向上させたり、セキュリティを強化したりするプロセスです。パッチ適用は、エクスプロイト、マルウェア感染、サービス拒否攻撃など、様々な種類の攻撃を防止または軽減することができます。しかし、コンサルタントがウェブサーバーにパッチを適用したり、セキュリティを強化したりしたという証拠は見当たりません。
参考文献:
1 バックドアとは何か？バックドア攻撃を防ぐ方法（2023年）
2 クリックジャッキングとは？チュートリアルと事例 | Web Security Academy
3 権限昇格とは何か、そしてそれがWebセキュリティとどう関係するのか | Acunetix
4 パッチとは？ | パッチ管理のベストプラクティス - cWatchブログ