조사 결정

이때 오프라인 조사(인스턴스 즉시 종료) 또는 온라인 조사(인스턴스 실행 유지) 중에서 선택할 수 있습니다. 오프라인 조사의 한 가지 이점은 인스턴스가 종료된 후에는 기존 환경에 더 이상 영향을 미치지 않는다는 것입니다. 또한 EBS 스냅샷에서 영향을 받는 인스턴스의 사본을 생성하고 조사를 위해 특별히 설계된 격리된 환경에서 격리된 AWS 계정을 사용하여 검토할 수 있습니다. 하지만 온라인 조사를 통해 호스트 운영 체제에서 메모리 또는 네트워크 트래픽과 같은 휘발성 증거를 포착할 수 있는 경우 인스턴스를 즉시 종료하지 않도록 선택할 수 있습니다.