一個 Amazon EC2 實例突然顯示高 CPU 使用率。目前不清楚該實例是被入侵還是正在執行正常的作業系統背景任務。在開始調查之前，安全工程師應該採取哪些行動？（選擇三項。）

在調查潛在的安全事件時，保護證據至關重要。啟用終止保護可防止實例被意外終止，這對於保留證據進行鑑識分析非常重要。建立 EBS 磁碟區快照可以凍結實例在事件發生時的狀態，以便後續分析，而不會影響正在運行的實例。記錄實例中繼資料並將其實例標記為已隔離，有助於追蹤事件並防止其對其他系統造成進一步影響。停用終止保護或刪除快照會破壞證據。從中繼資料中刪除敏感條目可能會干擾調查。