Een bedrijf draait een applicatie op Amazon EC2-instances achter een Application Load Balancer (ALB). De instances bevinden zich in een Auto Scaling group en gebruiken Amazon Elastic Block Store (Amazon EBS) volumes. Een security engineer moet al het forensisch bewijs van één instance bewaren. In welke volgorde moet de engineer de stappen uitvoeren?

De correcte volgorde is essentieel om forensisch bewijs te bewaren zonder de instance te beïnvloeden of te verliezen. Eerst moet de instance worden losgekoppeld van de Auto Scaling group om te voorkomen dat deze automatisch wordt beëindigd of vervangen. Vervolgens moet deze worden gederegistreerd van de ALB om te zorgen dat er geen verkeer meer naar wordt gerouteerd. Daarna wordt een EBS-snapshot gemaakt om een forensische kopie van de schijf te creëren. Een geheugen-snapshot wordt gemaakt voor analyse van runtime-gegevens. Pas als laatste wordt de instance gestopt om de staat te bevriezen voor verdere analyse. De andere opties zijn incorrect omdat ze de volgorde van het bewaren van vluchtige gegevens (geheugen) en persistente gegevens (EBS) omkeren, of de instance stoppen voordat alle bewijsmaterialen zijn vastgelegd.