Amazon EC2 实例突然显示 CPU 使用率过高。目前尚不清楚该实例是被入侵还是正在执行正常的操作系统后台任务。在开始调查之前，安全工程师应采取哪些措施？（选择三项。）

当 EC2 实例出现异常行为时，首先应采取措施保护证据并防止情况恶化。启用终止保护（如果尚未启用）可以防止实例被意外终止，从而保留用于调查的数据。创建 EBS 数据卷的快照是为了在不影响实时实例的情况下保留其状态，以便后续进行取证分析。记录实例元数据并将其标记为已隔离，有助于跟踪调查过程，并防止其他系统或用户与受感染的实例交互，从而限制潜在的损害。禁用终止保护会增加数据丢失的风险。删除快照会销毁重要的取证证据。立即删除敏感元数据可能会干扰调查，因为元数据本身可能包含有用的信息。