Firma uruchamia aplikację na instancjach Amazon EC2 za pośrednictwem Application Load Balancer (ALB). Instancje znajdują się w grupie Auto Scaling i korzystają z woluminów Amazon Elastic Block Store (Amazon EBS). Inżynier bezpieczeństwa musi zachować wszystkie dowody kryminalistyczne z jednej instancji. W jakiej kolejności inżynier powinien wykonać te kroki?

Poprawna kolejność działań minimalizuje ryzyko utraty dowodów i zakłócenia działania aplikacji. Najpierw należy odłączyć instancję od grupy Auto Scaling i wyrejestrować ją z ALB, aby zapobiec jej automatycznemu zastąpieniu lub ponownemu włączeniu do ruchu. Następnie wykonanie migawki woluminu EBS pozwala na zachowanie stanu dysku. Wykonanie migawki pamięci jest kluczowe dla zebrania danych ulotnych, które zniknęłyby po zatrzymaniu instancji. Zatrzymanie instancji jako ostatni krok zapewnia, że wszystkie dowody zostały zebrane, zanim instancja zostanie wyłączona. Pozostałe opcje są błędne, ponieważ zatrzymanie instancji przed zebraniem wszystkich dowodów (np. migawki pamięci) lub przed jej odłączeniem od Auto Scaling/ALB może prowadzić do utraty danych lub niepożądanych działań systemu.