SCS-C03：AWS Certified Security - Specialty インシデント対応 問5
インシデント対応／セキュリティイベントへの対応と調査侵害された疑いのある EC2 インスタンスについて、フォレンジック調査のために証跡を保全しつつ封じ込めたいと考えています。最も適切な初動はどれですか。
当サイトのオリジナル問題（SCS-C03：AWS Certified Security - Specialtyの出題範囲「インシデント対応」に対応。実際の試験問題ではありません）
- A直ちにインスタンスを終了し、新しいインスタンスを作り直す
- Bインスタンスにセキュリティパッチを適用してから調査する
- Cインスタンスを隔離用セキュリティグループに付け替えて通信を遮断し、EBS スナップショットを取得して専用のフォレンジック用アカウントで解析する
- Dインスタンスを再起動してログを初期化してから調査する
正解：C
解説
フォレンジックでは証跡の保全が最優先です。侵害された疑いのあるインスタンスは、終了・再起動・パッチ適用をすると揮発性データやディスク状態といった証跡が失われます。隔離用セキュリティグループへ付け替えて通信を遮断（封じ込め）し、EBS スナップショットを取得して専用のフォレンジックアカウントで解析するのが適切です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- A誤り。即時終了は証跡を破壊してしまい、フォレンジックの要件に反します。
- B誤り。パッチ適用は状態を変化させ、証跡保全の観点で不適切です。
- C正しい。隔離で封じ込めつつスナップショットを保全し、別アカウントで解析するのが適切です。
- D誤り。再起動はメモリ上の揮発性データ等を失わせ、証跡を損ないます。