あるセキュリティチームが、Amazon GuardDutyのアラート「UnauthorizedAccess:EC2/SSHBruteForce」を受け、調査の結果、本番環境のEC2インスタンスが侵害されていることを確認しました。このインスタンスはAuto Scaling Groupに属しており、EBSボリュームのみでストレージを構成しています。以下の要件があります。 ・コンプライアンス要件により、ディスクイメージを証拠として保全する必要がある ・本番サービスへの影響を最小限に抑える ・インシデント調査期間中、インスタンスを外部ネットワークから完全に切り離す フォレンジック証拠保全の手順として最も適切なのはどれか？
AWSのフォレンジックベストプラクティスでは、侵害インスタンスをまず隔離（全通信をブロックするSGへ変更）してから証拠保全（EBSスナップショット）を行います。Auto Scaling GroupからDetachすることで代替インスタンスが自動起動されサービスへの影響を最小化できます。スナップショットを別の隔離アカウントにコピーすることで証拠の独立性と改ざん防止を担保します。 選択肢Aのインスタンス即時終了は、ディスク上のフォレンジック証拠（ファイルシステム、ログ等）が消失するため不適切です。 選択肢Cの手順は既存セキュリティグループを維持したままで隔離が不十分です。インシデント調査中も外部通信が継続し、攻撃者にアラートが伝わる可能性があります。 選択肢DのElastic IP解放はインターネット経路のみを切断しますが、VPC内部通信は継続されます。また明示的なSGによる隔離ステップがなく、フォレンジック手順として不完全です。