セキュリティチームが、本番環境のEC2インスタンスで不審なアウトバウンド通信を検知しました。インスタンスはEBSボリュームにアプリケーションデータを保持しており、フォレンジック調査が必要です。本番環境への影響を最小化しつつ、証拠を適切に保全してフォレンジック分析を実施するために、最初に行うべき手順として最も適切なものはどれですか？
EC2インスタンスのフォレンジック調査における最優先事項は「隔離」と「証拠保全」です。 選択肢Aは誤りです。インスタンスを停止すると揮発性メモリ（実行中プロセス情報・ネットワーク接続状態）が失われ重要な証拠が消滅します。また同一VPC内での分析は攻撃者のさらなる横展開リスクを残します。 選択肢Bが正解です。セキュリティグループを差し替えてすべてのトラフィックを遮断することで、インスタンスを実行したまま即座に隔離できます。インスタンスを動作させたままEBSスナップショットを作成することでボリュームデータを保全し、フォレンジック専用VPCで分析することで横方向移動（ラテラルムーブメント）のリスクも排除できます。 選択肢Cは誤りです。インスタンスを終了するとEBSボリュームが削除され（DeleteOnTerminationがtrueの場合）、揮発性メモリも完全に失われます。遡及分析のみでは詳細な調査ができません。 選択肢Dは誤りです。マルウェアが活発に通信している状態でSSM接続を行うこと自体にリスクがあり、調査後にインスタンスを終了するとEBSボリュームが削除される危険性があります。終了前にスナップショット取得が必須です。