The analyst should review PID 768 first because it is the parent process of another suspicious process (PID
1100 ) and it is also highly suspicious itself due to its unexpected file path .
Why PID 768 is the best first process to review
* Path anomaly (strong IoC): Legitimate Windows binaries like calc.exe and cmd.exe are normally found in trusted OS directories (e.g., C:\Windows\System32\). In the table, both CALC.exe and CMD.
exe appear in a user's Documents folder (C:\Users\JDoe\Documents\...). That is a classic sign of masquerading (a malicious binary using a legitimate-sounding name). The All-in-One guide explicitly describes how attackers disguise malicious processes by using legitimate-sounding names and mimicking system processes.
* Parent-child relationship (investigation priority): PID 1100 (Documents\CMD.exe) is suspicious, but it is a child of PID 768 (Documents\CALC.exe). Investigating the parent first helps you understand what spawned the suspicious child , what activity preceded it, and whether PID 768 is the root of the execution chain. The All-in-One guide highlights that analysts should examine process parent-child relationships and investigate unexpected dependencies as a way to detect malicious activity: Exact extract (All-in-One Exam Guide): "Analyze process dependencies Examine process parent-child relationships and investigate any unexpected or unusual dependencies that may indicate malicious activity." It also emphasizes monitoring grandparent/parent/child relationships to detect deviations from normal process hierarchies: Exact extract (All-in-One Exam Guide): "Monitoring the relationships between processes, particularly grandparent, parent, and child relationships, can be a valuable method for detecting unusual activity."
* 悪用/LOLBINコンテキスト: cmd.exeは、攻撃でよく悪用されるWindowsユーティリティです。Sybex学習ガイドでは、攻撃者が組み込みツールを悪用することが多く、cmd.exeなどのツールに関連する異常なOSプロセス動作は侵害を示している可能性があると指摘しています。正確な抜粋（Sybex学習ガイド）：「Windowsシステムでは、cmd.exeを含むいくつかの組み込みツールが、このような攻撃に最もよく関連付けられています...」他の選択肢が適切でない理由
* A (533) と B (740) は C:\Windows\System32\... から実行されています。これは通常の状況では正規の Windows バイナリの想定される場所であるため、ユーザーの Documents フォルダーから実行されるコピーよりも疑わしくありません。
* D (1100) は疑わしいですが、PID 768 の子プロセスです。まず 768 を調査することで、疑わしいコマンド インスタンスにつながった発生源と実行チェーンを特定するのに役立ちます。
参考文献（CompTIA CySA+ CS0-003のドキュメント／学習ガイドを使用）：
* Mya Heath 他著、CompTIA CySA+ オールインワン試験ガイド (CS0-003) : 親/子プロセス依存性分析、プロセス階層監視、マスカレード技術
* Mike Chapple & David Seidl、CompTIA CySA+ 学習ガイド (CS0-003)：異常な OS プロセス動作。cmd.exe は攻撃と関連付けられることが多い。