正解：ウ
各選択肢の解説
ア社員に電話して端末の電源を切らせ、翌朝の出社を待って詳しく調べる。
誤り。通信は止まりますが、電源を切るとメモリ上にしか残っていない動作中のプログラムや 通信先の情報が消え、何が起きたかを調べる手掛かりを失います。 止めるべきはネットワークで、電源ではありません。
イマルウェア対策ソフトの定義ファイルを更新し、端末のフルスキャンを実行する。
誤り。定義ファイルによる検知は既知のマルウェアの特徴との照合です。 それをすり抜けたからこそEDRが挙動で警告しています。 スキャンを待つ間も外部との通信は続き、社内への広がりも止まりません。
ウEDRの機能で端末をネットワークから隔離し、記録された挙動から影響範囲を調べる。
正解。EDRなら離れた場所から端末の通信を遮断でき、電源を入れたままなので 証拠も残ります。記録されたプロセスや通信の履歴から、侵入の経緯と広がりを調べられます。
エ誤検知の可能性もあるため、翌朝に社員本人へ心当たりを確認してから判断する。
誤り。本人への確認は必要ですが、朝まで待つと外部との通信や社内の他の端末への 広がりが一晩続きます。誤検知なら隔離を解けば済むので、先に被害の拡大を止めます。
理解を深めるために
火元の部屋の扉を閉める。ただし部屋の中は片付けない
火事の疑いがあれば、まず扉を閉めて燃え広がるのを止めます。しかし中の物を捨ててしまえば、 出火の原因は調べられません。マルウェア感染の疑いも同じで、広がりを止めることと、 証拠を残すことを同時に満たす手を最初に打ちます。
なぜEDRで隔離するのか
EDR（Endpoint Detection and Response）は、端末上のプロセスの起動、ファイルの操作、 通信などの挙動を記録・監視し、怪しい動きを検知したら対応まで支援する仕組みです。
- 管理画面から端末をネットワークから切り離せる（EDRとの通信だけは残す製品が多い）
- 電源を入れたままなので、メモリ上の情報など調査の手掛かりが消えない
- 記録された挙動から「どのファイルから何が起動し、どこと通信したか」をたどれる
- 誤検知だった場合は隔離を解くだけで元に戻せる
ファイルを残さずメモリ上だけで動く攻撃もあり、定義ファイルとの照合では見つからないことがあります。 EDRはこうした「入られた後」の動きを捉えるための仕組みです。
混同しやすいものとの違い
| 対応 | 被害の拡大 | 証拠 |
|---|---|---|
| EDRでネットワークから隔離 | 止まる | 残る |
| 電源を切る | 止まる | メモリ上の情報が消える |
| 定義ファイル更新とフルスキャン | 止まらない | 残るが既知のものしか見つからない |
| 翌朝まで待つ | 一晩続く | 残る |
試験では、初動の選択肢を「拡大を止められるか」「証拠が残るか」の2つで比べます。 両方を満たすのは、ネットワークから切り離して電源は切らない対応です。