易失性证据采集顺序
易失性证据指那些一旦断电或重启就消失的数据：内存、网络连接、运行中的进程、临时文件。采集原则是按其存活时间从短到长排序，先内存、再网络、再进程、然后是易失文件，最后才是磁盘。这个顺序的依据是 RFC 3227 的采集原则，也是现场处置中最容易做错的一环——因为直觉往往让人先去「备份磁盘」，而那恰恰是最不着急的一步。
基本信息
| 采集顺序 | 内存 → 网络连接与路由 → 进程与会话 → 临时文件 → 磁盘与归档日志 |
|---|---|
| 排序理由 | 断电或重启即消失的数据优先采集 |
| 依据标准 | RFC 3227 采集顺序原则、NIST SP 800-86 取证指南 |
| 记录要求 | 每一步的时间（UTC）、执行人与命令都写入处置日志 |
| 输出位置 | 独立介质或证据服务器，不要写回受害主机 |
| 完整性 | 每个输出文件采集后立即计算哈希 |
典型使用场景
- 接手一台在线主机，需要按顺序固定现场
- 为内存分析准备一份与内存同一时刻的运行态快照
- 编写应急手册时定义标准采集顺序与命令清单
- 向业务方解释为什么不能先重启再取证
- 跨团队协作时统一口径，避免不同人用不同顺序反复采集
按序快速记录现场
按序快速记录现场
date -u | tee /evidence/order.log # 0 记录时间基准
df -h /evidence | tail -n 1 # 1 先确认证据分区可用空间充足
ss -antp >> /evidence/order.log 2>&1 # 2 网络连接
ip route show >> /evidence/order.log 2>&1 # 3 路由与邻居
ps auxwwf >> /evidence/order.log 2>&1 # 4 进程树
sudo lsof -i -nP >> /evidence/order.log 2>&1 # 5 套接字与进程关联
ls -la /tmp /dev/shm /var/tmp >> /evidence/order.log 2>&1 # 6 易失文件
sha256sum /evidence/order.log | tee -a /evidence/order.log各步产出物
| 顺序 | 数据 | 产出物 |
|---|---|---|
| 1 | 内存映像 | 内存镜像文件与哈希，必须先于其他动作 |
| 2 | 连接与路由 | 连接列表、路由表、邻居表 |
| 3 | 进程与会话 | 进程树快照、登录会话列表 |
| 4 | 打开文件与套接字 | 文件描述符与套接字映射 |
| 5 | 易失文件 | 临时目录清单与打包文件 |
| 6 | 磁盘与日志 | 磁盘镜像与归档日志 |
最常见的错误是先关机再谈取证：易失部分清零之后，后续所有分析都缺少依据，只能靠磁盘上残缺的痕迹推断，结论的可信度会明显下降。
记录与采集同等重要：没有操作日志，就无法证明采集过程合规，也无法说明证据的时间基准。建议把时间、命令与执行人三项做成固定格式，采集时直接追加写入。