ある会社が、Application Load Balancer (ALB) の背後にある Amazon EC2 インスタンスでアプリケーションを実行しています。インスタンスは Auto Scaling グループに属しており、Amazon Elastic Block Store (Amazon EBS) ボリュームを使用しています。セキュリティエンジニアは、あるインスタンスからすべてのフォレンジック証拠を保全する必要があります。エンジニアはどのような順序で手順を実行すべきですか？

正しい手順は、まずインスタンスが自動的に終了または置き換えられるのを防ぐため、Auto Scalingグループからインスタンスをデタッチし、ALBから登録解除することです。これにより、証拠保全中にインスタンスが運用環境から隔離されます。次に、EBSボリュームのスナップショットを取得してディスク上のデータを保全します。その後、メモリのスナップショットを取得して、揮発性メモリ内の実行中のプロセスや開いているファイルなどの情報をキャプチャします。最後に、インスタンスを停止して、これ以上の変更を防ぎます。他の選択肢は、重要な揮発性データが失われる可能性があるため、メモリのスナップショットを早めに取得しなかったり、インスタンスが置き換えられるリスクを無視したりしています。