包括的かつ詳細な説明（ECIH準拠）：
ECIHのフォレンジック準備ガイドラインでは、WindowsレジストリがUSBデバイスの痕跡の主要な情報源であるとされています。Enum\USBレジストリキーには、ベンダーID、製品ID、シリアル番号、および接続履歴が格納されます。
選択肢Aが正しいのは、どのUSBデバイスが接続されたか、いつインストールされたか、どのシステムにインストールされたかを直接的に示す証拠となるため、内部犯行の調査にとって非常に重要だからです。
オプションBでは、物理的なUSBの使用状況を確実に識別できません。オプションCにはドライバのインストールデータが含まれていますが、オプションBほど包括的ではありません。オプションDは無関係です。
レジストリ分析はECIHにおける基礎的な鑑識技術であるため、選択肢Aが正解となる。

包括的かつ詳細な説明（ECIH準拠）：
今回の事案は、医療機器にマルウェアが積極的に影響を与え、患者の安全を脅かす事態です。ECIHのマルウェア事案対応原則によれば、最優先事項はエンドポイントレベルでの封じ込めと駆除です。
選択肢Dが正解です。エンドポイント保護を導入することで、MRI装置上でマルウェアの実行を直接検知して停止させることができ、結果の改ざんやさらなる悪意のある活動を阻止できます。ネットワークレベルや復旧措置の前に、エンドポイントの封じ込めは不可欠です。
オプションBは通信に関する事項を扱いますが、ローカル操作を阻止するものではありません。オプションCは、封じ込め措置なしにシステム状態を変更します。オプションAは、バリデーションに続く規制上のステップです。
ECIHは、重要インフラおよび医療環境においては、安全性とデータ完全性を保護するために、エンドポイントの即時封じ込めが不可欠であることを強調している。

包括的かつ詳細な説明（ECIH準拠）：
この事例は、文書ベースのWebマルウェア配信メカニズム、特にリモートホストされたリッチテキストフォーマット（RTF）の注入を利用したメカニズムを示しています。これは、ECIHのWebおよびマルウェア処理モジュールで詳しく説明されています。RTF文書は外部オブジェクトやテンプレートを参照できるため、マクロやユーザーの操作を必要とせずに、文書を開いた際に悪意のあるペイロードを動的に取得することが可能です。
選択肢Aが正解です。なぜなら、説明されている動作はリモートテンプレートインジェクションと完全に一致するからです。マクロの欠如、サイレントな外部接続、構造化されたドキュメント要素の使用は、RTFベースのマルウェア配信の典型的な兆候です。ECIHは、この手法が従来のマクロベースの検出およびユーザー警告メカニズムを回避するため、高リスクの手法として指摘しています。
選択肢Bは、ペイロードがダウンロードされたドキュメントを介して配信されたのであって、ソーシャルコンタクトを装ったメールによる配信ではないため、誤りです。選択肢Cはブラウザ拡張機能とPDFに言及していますが、これらは関係ありません。選択肢Dは、初期配信ではなく、横方向への拡散について説明しています。
ECIHは、現代のウェブベースの攻撃では、制御を回避するために、信頼できるドキュメント形式やリモートオブジェクト参照が悪用されるケースが増えていることを強調しています。これらの手法を理解することで、対応者はドキュメントのサニタイズ、送信トラフィックの監視、コンテンツの無害化と再構築（CDR）といった制御機能を向上させることができます。