Eine Amazon EC2-Instance weist plötzlich eine hohe CPU-Auslastung auf. Es ist unklar, ob die Instance kompromittiert ist oder normale Betriebssystem-Hintergrundaufgaben ausführt. Welche Maßnahmen sollte ein Sicherheitsingenieur ergreifen, bevor er mit der Untersuchung beginnt? (Wählen Sie drei.)

Um eine Untersuchung vorzubereiten, sollte der Beendigungsschutz für die EC2-Instanz aktiviert werden, um ein versehentliches Löschen zu verhindern, was kritisch ist, wenn die Instanz möglicherweise kompromittiert ist. Snapshots der angehängten Amazon EBS-Datenvolumes sind unerlässlich, um den aktuellen Zustand der Daten zu sichern, bevor weitere Schritte unternommen werden, die die Beweise verändern könnten. Das Aufzeichnen der EC2-Instanz-Metadaten und das Markieren der Instanz als unter Quarantäne gestellt hilft, den Kontext zu dokumentieren und die Instanz von anderen Systemen zu isolieren, um eine weitere Ausbreitung zu verhindern. Das Deaktivieren des Beendigungsschutzes oder das Löschen von Snapshots würde das Risiko eines Datenverlusts oder einer Beweisvernichtung erhöhen. Das Entfernen sensibler Einträge aus Metadaten ist nicht der erste Schritt und könnte wichtige forensische Informationen zerstören.