| 第 1 优先 | 内存与运行状态（关机即丢） |
|---|---|
| 第 2 优先 | 网络连接、路由、ARP 邻居 |
| 第 3 优先 | 进程列表、打开文件、命令历史 |
| 最后 | 磁盘镜像与归档日志 |
RFC 3227 采集顺序摘要
| 层级 | 数据 | 丢失风险 |
|---|---|---|
| 1 | CPU 缓存与寄存器、内存 | 断电即失 |
| 2 | 网络连接、运行进程 | 随进程终止消失 |
| 3 | 磁盘临时文件、日志缓冲 | 易被覆盖 |
| 4 | 磁盘与备份介质 | 相对持久 |
一条命令完成在线快照
一条命令完成在线快照
{ date -u; who -a; w; ss -antp; ip route show; arp -an; ps auxwwf; lsof -i -nP; } > /tmp/snapshot_$(date +%F_%H%M).txt 2>&1
tar -zcPpf /evidence/snapshot.tgz /tmp/snapshot_*.txt先内存后磁盘：先做磁盘镜像再抓内存，等于把内存证据留到了最后。