Una empresa ejecuta una aplicación en instancias de Amazon EC2 detrás de un Application Load Balancer (ALB). Las instancias están en un grupo de Auto Scaling y utilizan volúmenes de Amazon Elastic Block Store (Amazon EBS). Un ingeniero de seguridad debe preservar toda la evidencia forense de una instancia. ¿En qué orden debe el ingeniero realizar los pasos?

La secuencia correcta prioriza aislar la instancia para evitar que Auto Scaling la termine y para que el ALB no envíe tráfico, lo cual podría alterar la evidencia. Primero, desvincular la instancia del grupo de Auto Scaling (ASG) asegura que el ASG no la reemplace automáticamente. Luego, anular el registro del ALB detiene el tráfico entrante. Después, tomar una instantánea del volumen de EBS preserva el estado del disco. Tomar una instantánea de la memoria (RAM) captura el estado volátil del sistema, que es crucial para el análisis forense. Finalmente, detener la instancia la congela en su estado actual para un análisis posterior sin riesgo de cambios. Las opciones incorrectas alteran este orden crítico. Por ejemplo, detener la instancia antes de desvincularla del ASG o del ALB podría resultar en la terminación automática de la instancia o en la pérdida de datos volátiles antes de su captura. Tomar instantáneas antes de desvincularla también podría llevar a que la instancia sea terminada antes de que se complete la recopilación de evidencia.