説明（クラウドIRリアリティ）：
マルチベクトルのクラウドインシデントにおいて、決定的な課題となるのは、階層化されたサービス（アイデンティティ（IAM）、ネットワーク（WAF/CDN/LB）、コンピューティング（VM/コンテナ/関数）、メール/コラボレーション、エンドポイント、サードパーティSaaS統合）間の連携です。各ベクトルは多くの場合、異なるレベルで発生します。フィッシングはアイデンティティを侵害し、マルウェアはエンドポイントまたはワークロードに潜伏し、DDoSはエッジ/ネットワーク層に負荷をかけます。効果的な対応には、これらの領域全体で封じ込め対策を調整し、1つの緩和策が別の脅威（例えば、DDoSを停止しながらも侵害されたアイデンティティをアクティブなままにしたり、悪意のあるOAuthトークンが有効なままワークロードをクリーンアップしたりするなど）を未然に防ぐ必要があります。
(B) は重要ですが、調整のサブセットです。CSP 通信は、より広範なマルチサービス対応における 1 つの依存関係です。(C) は戦術的な DDoS 問題であり重要ですが、インシデントにはフィッシングとマルウェアが含まれているため、トラフィック分類のみに焦点を当てるだけでは不十分です。(A) は規制対象の企業にとって重要ですが、アクティブな対応中は、コンプライアンスは通常、事前定義された手順で対処されます。これは、マルチベクトル キャンペーンを阻止する際の主な運用上の障害ではありません。
したがって、(D) は、クラウド特有の複雑さ、つまり、分散所有権、共有責任境界、そしてキル チェーンを真に断ち切るための同期アクション (トークンの取り消し、ワークロードの分離、セキュリティ グループ、WAF ルール、電子メール保護、エンドポイントの封じ込めの調整) の必要性を最もよく表しています。

The correct sequence of steps involved in forensic readiness planning, based on the activities described, is as follows:
* Identify the potential evidence required for an incident.
* Determine the source of the evidence.
* Define a policy that determines the pathway to legally extract electronic evidence with minimal disruption.
* Establish a policy for securely handling and storing the collected evidence.
* Identify if the incident requires full or formal investigation.
* Train the staff to handle the incident and preserve the evidence.
* Create a special process for documenting the procedure.
* Establish a legal advisory board to guide the investigation process.This sequence ensures that an organization is prepared to handle incidents efficiently, with a focus on identifying relevant evidence and the legal context of its collection, followed by staff training and the establishment of guiding policies and advisory boards.References:Incident Handler (ECIH v3) courses and study guides include discussions on forensic readiness planning, highlighting the importance of preparing organizations for effective legal and technical handling of incidents.

Netstat (network statistics) is a command-line tool that displays network connections (both incoming and outgoing), routing tables, and a number of network interface (and network protocol) statistics. It is considered a volatile evidence collecting tool because it gathers information that exists in the system's memory, which is lost upon shutdown or reboot. This makes it invaluable for collecting evidence of active connections and processes that are present at the time of the incident response but does not persistently store data that can be recovered later. This contrasts with tools like FTK Imager or ProDiscover Forensics, which are used for acquiring digital evidence in a non-volatile manner, such as disk imaging, and HashTool, which is used for validating the integrity of collected digital evidence through hashing.
References:EC-Council's ECIH v3 materials include discussions on the importance of volatile and non-volatile evidence, emphasizing tools like Netstat for their role in the immediate collection