Ein Unternehmen betreibt eine Anwendung auf Amazon EC2-Instances hinter einem Application Load Balancer (ALB). Die Instances befinden sich in einer Auto Scaling-Gruppe und verwenden Amazon Elastic Block Store (Amazon EBS)-Volumes. Ein Sicherheitsingenieur muss alle forensischen Beweismittel von einer Instance sichern. In welcher Reihenfolge sollte der Ingenieur die Schritte ausführen?

Die korrekte Reihenfolge ist entscheidend, um forensische Beweismittel zu sichern, ohne die Integrität der Daten zu gefährden oder die Anwendung unnötig zu stören. Zuerst muss die Instance von der Auto Scaling-Gruppe getrennt werden, um zu verhindern, dass sie automatisch beendet oder ersetzt wird. Danach wird die Registrierung der Instance vom Application Load Balancer (ALB) aufgehoben, um sicherzustellen, dass kein weiterer Datenverkehr an sie geleitet wird. Anschließend wird ein EBS-Volume-Snapshot erstellt, um eine konsistente Kopie der Festplattendaten zu erhalten. Danach wird ein Speicher-Snapshot erstellt, um den Zustand des Arbeitsspeichers zu erfassen, der flüchtige, aber wichtige forensische Daten enthalten kann. Zuletzt wird die Instance gestoppt, um weitere Änderungen am System zu verhindern. Andere Optionen sind falsch, da sie entweder die Reihenfolge der Snapshot-Erstellung vertauschen oder die Instance stoppen, bevor alle notwendigen Daten gesichert wurden, was zu Datenverlust führen könnte.