ある企業のセキュリティチームは、Auto Scalingグループに属するEC2インスタンスの1台でマルウェア感染が疑われることを検知しました。 このインスタンスはApplication Load Balancer（ALB）のターゲットとして本番トラフィックを処理しています。 フォレンジック調査のための証拠を最大限に保全しながら、本番サービスへの影響を最小化するための対応手順として最も適切なものはどれですか？
EC2フォレンジックの基本手順は①ネットワーク隔離→ ②証拠保全（スナップショット）→ ③本番環境からの分離である。セキュリティグループ変更で攻撃者の通信を即座に遮断し、稼働中にEBSスナップショットを取得して証拠を保全し、ASGからデタッチすることでASGによる新インスタンス自動起動を許可してサービスを維持できます。 選択肢A: ASG全体の停止は正常インスタンスも含めて停止させ本番サービスに重大な影響を与えるため不適切です。 選択肢C: ネットワーク隔離を行わずに停止するとメモリ上の揮発性データが失われ証拠保全として不十分です。 選択肢D: AMIから侵害環境を別VPCに展開するとマルウェアが拡散するリスクがあり、元インスタンスをASGに残すと本番へのリスクが継続します。