한 회사에서 Application Load Balancer(ALB) 뒤의 Amazon EC2 인스턴스에서 애플리케이션을 실행합니다. 인스턴스는 Auto Scaling 그룹에 있으며 Amazon Elastic Block Store(Amazon EBS) 볼륨을 사용합니다. 보안 엔지니어는 한 인스턴스의 모든 포렌식 증거를 보존해야 합니다. 엔지니어는 어떤 순서로 단계를 수행해야 할까요?

이 순서는 포렌식 증거 보존을 위한 최적의 접근 방식입니다. 먼저, Auto Scaling 그룹에서 인스턴스를 분리하고 ALB에서 등록 해제하여 해당 인스턴스로의 트래픽 흐름을 중단하고 Auto Scaling 그룹이 인스턴스를 종료하거나 교체하는 것을 방지합니다. 이렇게 하면 인스턴스의 상태가 변경되지 않도록 보호합니다. 다음으로, EBS 볼륨 스냅샷을 생성하여 디스크의 모든 영구 데이터를 캡처합니다. 그 후 메모리 스냅샷을 생성하여 휘발성 데이터를 보존합니다. 마지막으로 인스턴스를 중지하여 추가적인 변경을 방지하고 모든 증거 수집을 완료합니다. 다른 옵션들은 인스턴스가 여전히 트래픽을 처리하거나 Auto Scaling 그룹에 의해 종료될 위험이 있거나, 휘발성 메모리 데이터가 손실될 위험이 있어 포렌식 무결성을 해칠 수 있습니다.