调查决定

此时，您可以在离线调查（立即关闭实例）或在线调查（使实例保持运行）之间进行选择。离线调查的一个优势是，实例关闭后，它将不再影响现有环境。此外，您可以根据 EBS 快照创建受影响实例的副本，然后在隔离的 AWS 账户中检查该实例，该账户具有专为调查而设计的隔离环境。但是，如果在线调查使您有可能从主机操作系统捕获短暂易逝的证据（例如内存或网络流量），则可以选择不立即关闭实例。