Uma empresa executa um aplicativo em instâncias Amazon EC2 atrás de um Application Load Balancer (ALB). As instâncias estão em um grupo do Auto Scaling e usam volumes Amazon Elastic Block Store (Amazon EBS). Um engenheiro de segurança deve preservar todas as evidências forenses de uma instância. Em que ordem o engenheiro deve executar as etapas?

A ordem correta das etapas é crucial para a preservação forense. Primeiro, desanexar a instância do grupo do Auto Scaling impede que o grupo a encerre ou substitua automaticamente. Em seguida, desregistrar a instância do ALB garante que nenhum tráfego novo seja direcionado a ela, isolando-a. Tirar um snapshot do volume EBS preserva o estado do disco no momento da captura. O snapshot de memória deve ser tirado enquanto a instância ainda está em execução para capturar dados voláteis. Finalmente, parar a instância é a última etapa, pois a interrupção prematura pode levar à perda de evidências na memória. As opções incorretas falham em preservar a memória ou o estado do disco de forma adequada, ou interrompem a instância antes de coletar todas as evidências voláteis e persistentes.