| 顺序 | 内存→网络连接→进程→临时/易失文件→磁盘 |
|---|---|
| 理由 | 断电或重启即消失的优先采集 |
| 依据 | RFC 3227 的采集顺序原则 |
| 记录 | 每步时间与操作人入日志 |
按序快速记录现场
按序快速记录现场
date -u | tee /evidence/order.log
ss -antp >> /evidence/order.log 2>&1
ps auxwwf >> /evidence/order.log 2>&1
ls -la /tmp /dev/shm >> /evidence/order.log 2>&1最常见的错误是先关机再谈取证：易失部分清零，后续分析都缺依据。