EC-Councilのインシデントハンドラー（ECIH）カリキュラムでは、復旧は単に機能を回復させるだけでなく、再感染や継続的な侵害につながる可能性のある残存セキュリティ上の脆弱性を排除する必要があることを強調しています。運用技術（OT）および産業環境においては、相互接続されたシステム間のID検証、証明書の信頼性、および厳格なアクセス制御が不可欠です。
このシナリオは、認証サーバーと自動化モジュール間の過剰な権限設定と、認証トークンにおける未確認のフィンガープリントの異常という、2つの主要な問題点を浮き彫りにしています。これらの結果は、信頼関係の侵害と、過剰な権限を持つシステム通信を示しています。
ECIHの復旧ガイダンスでは、システムが完全に復旧したと宣言する前に、認証メカニズムの再検証、最小権限の原則の適用、信頼関係の見直し、証明書の完全性の確保を徹底するよう強調しています。きめ細かなロールベースアクセス制御（RBAC）の実装と信頼できるデバイス証明書の検証は、過剰な権限と認証異常の両方に直接対処します。
オプションAは検出精度を向上させますが、信頼設定の誤りを修正するものではありません。オプションB（レッドチームシミュレーション）は有用ですが、認証制御のセキュリティ確保に比べると二次的なものです。オプションC（システム再起動）は、権限や証明書の検証に関する問題を解決しません。
したがって、きめ細かな役割ベースのアクセス ポリシーを適用し、信頼できるデバイス証明書を検証することが、最も重要な安全な復旧対策となります。

ECIHのインシデント対応入門モジュールでは、ソーシャルエンジニアリングは、攻撃者が技術的な脆弱性を悪用することなく不正アクセスを取得するために用いる主要な手法であると指摘している。
選択肢Cが正解です。この攻撃は、偽の通知や類似ドメインといった欺瞞的な手法を用いてユーザーを騙し、認証情報を漏洩させようとしています。これは典型的なソーシャルエンジニアリングの手法であり、最初の侵入経路としてよく用いられます。
選択肢A、B、Dは、技術的な偵察またはネットワーク攻撃であり、人間を対象とした欺瞞ではありません。
ソーシャルエンジニアリングを根本原因として認識することは、ECIHのガイダンスで強調されているユーザー意識向上トレーニング、フィッシング対策、多要素認証などの適切な対策を選択する上で不可欠です。

このシナリオは、コマンド＆コントロール（C2）通信が確認されたアクティブなマルウェア感染を描写しており、機密性の高い金融データに対する差し迫った深刻なリスクを示しています。EC-Council ECIHのマルウェアインシデント対応プロセスによれば、このような場合の最優先事項は封じ込めであり、具体的には進行中の悪意のある活動を停止し、さらなるデータ漏洩を防ぐことです。
選択肢Aが正解です。影響を受けたサーバーをネットワークから切断することで、攻撃者の制御チャネルが即座に遮断され、外部へのデータ漏洩が停止します。ECIHは、C2トラフィックが観測された場合、対応者は、より詳細なフォレンジック分析や修復を行う前に、侵害されたシステムを隔離するために断固とした行動を取らなければならないと強調しています。封じ込めによって被害を最小限に抑え、法的、経済的、そして評判への影響を軽減できます。
オプションBはシステムの状態を維持する可能性がありますが、シャットダウンが完了するまでデータの流出が継続するため、重要な銀行業務に支障をきたす可能性があります。オプションCは予防措置であり、既に発生している感染を阻止するものではありません。
選択肢Dは調査には有益だが、封じ込め後に行うべきであり、封じ込め前に行うべきではない。
ECIHの指針は、重要な資産が危険にさらされている場合、証拠収集よりも被害の防止を常に優先する。
したがって、影響を受けたサーバーのネットワーク接続を直ちに切断することが、適切な緊急対応策である。