侵害されたEC2の最初の対応

正解は ア です。 まず 自動の終了・置換を防ぎ （Auto Scalingから外す）、 隔離 して通信を止めます。その後にメモリーとディスクの証拠を取ります。 順序 対応 1 Auto Scaling・ELBから外す、終了保護 2 隔離用のSG（必要ならNACL） 3 メモリーの取得・スナップショット 4 解析と置き換え 証拠を保ったまま、被害の拡大を止められる。 証拠（メモリー・ディスク）を失う。 証拠を変えてしまい、攻撃者に気付かれる恐れもある。 メモリーの証拠を失い、通信も止まらない。

GuardDutyが、Auto ScalingグループのEC2が既知の指令サーバーと通信していることを検知した。調査のために証拠を残しつつ、被害の拡大を止めたい。最初に行うべきことはどれか。

最も適切なものを1つ選択してください。

出典AWS非公式・オリジナル問題
ア
インスタンスをAuto Scalingグループからデタッチし、隔離用のSGに付け替える
イ
インスタンスをすぐに終了して、Auto Scalingに新しいインスタンスを起動させる
ウ
インスタンスのOSにログインして、不審なファイルを削除する
エ
インスタンスを再起動して、メモリーの中の不審なプロセスを止める