Een Amazon EC2-instance vertoont plotseling een hoog CPU-gebruik. Het is onduidelijk of de instance gecompromitteerd is of normale OS-achtergrondtaken uitvoert. Welke acties moet een security engineer ondernemen voordat het onderzoek wordt gestart? (Kies drie.)

Voordat een onderzoek naar een mogelijk gecompromitteerde EC2-instance wordt gestart, is het cruciaal om de integriteit van de instance en de gegevens te waarborgen. Het inschakelen van termination protection voorkomt onbedoelde beëindiging van de instance, wat essentieel is voor forensisch onderzoek. Het maken van snapshots van EBS-volumes creëert een point-in-time kopie van de gegevens, die later kan worden geanalyseerd zonder de live instance te beïnvloeden. Het vastleggen van instance metadata en het taggen als 'quarantined' helpt bij het isoleren van de instance en het documenteren van de staat op het moment van detectie. Het uitschakelen van termination protection of het verwijderen van snapshots zou het onderzoek belemmeren of bewijsmateriaal vernietigen. Het verwijderen van gevoelige metadata is ook contraproductief, omdat deze informatie waardevol kan zijn voor het onderzoek.