# 調查決策
<a name="investigation-decisions"></a>

 此時，您可以選擇離線調查 (立即關閉執行個體) 或線上調查 (讓執行個體保持執行中)。離線調查的一個優點是，執行個體關閉後，它不再影響現有環境。此外，您可以從 EBS 快照建立受影響執行個體的副本，並在隔離的 AWS 帳戶中查看該副本 (此帳戶具有專門為調查而設計的隔離環境)。但是，如果*線上*調查可讓您從主機作業系統擷取暫時性證據 (如記憶體或網路流量)，則可選擇不立即關閉執行個體。