Une entreprise exécute une application sur des instances Amazon EC2 derrière un Application Load Balancer (ALB). Les instances se trouvent dans un groupe Auto Scaling et utilisent des volumes Amazon Elastic Block Store (Amazon EBS). Un ingénieur en sécurité doit préserver toutes les preuves forensiques d'une instance. Dans quel ordre l'ingénieur doit-il effectuer les étapes ?

Pour préserver toutes les preuves forensiques, il est crucial d'isoler l'instance avant toute modification. Détacher l'instance du groupe Auto Scaling et la désenregistrer de l'ALB garantit qu'elle ne recevra plus de trafic et ne sera pas remplacée automatiquement, évitant ainsi la perte de preuves. Ensuite, prendre un instantané du volume EBS capture l'état persistant du disque. Puis, la capture de la mémoire (RAM) est essentielle pour les preuves volatiles. Enfin, arrêter l'instance est la dernière étape, car l'arrêt peut modifier l'état de la mémoire et des fichiers ouverts. Les autres options sont incorrectes car elles effectuent des actions qui pourraient altérer ou perdre des preuves (comme arrêter l'instance avant de capturer la mémoire ou le disque, ou ne pas isoler l'instance du trafic).