Decisões de investigação

Nesse ponto, você pode escolher entre uma investigação offline (encerrar imediatamente a instância) ou uma investigação online (manter a instância em execução). Uma vantagem da investigação offline é que, depois que a instância é desligada, ela não pode mais afetar o ambiente existente. Além disso, você pode criar uma cópia da instância afetada a partir dos snapshots do EBS e analisá-la em uma conta isolada da AWS com um ambiente isolado projetado especificamente para sua investigação. No entanto, é possível optar por não desligar a instância imediatamente, se uma investigação online permitir que você capture evidências voláteis do sistema operacional host, como memória ou tráfego de rede.