内存采集工具与顺序
内存中的内容最易失，应按易失性顺序优先采集，再考虑磁盘。Windows 上常用 WinPmem 生成原始内存镜像，Linux 上可用 AVML 采集为压缩格式文件。采集完成后立即计算哈希，并记录工具版本与参数，否则镜像在后续很难被验证与复现。
基本信息
| Windows 工具 | WinPmem，生成原始内存镜像文件 |
|---|---|
| Linux 工具 | AVML，采集为压缩格式文件 |
| 易失性顺序 | 寄存器与缓存、内存、临时文件系统、磁盘 |
| 采集后动作 | 立即计算哈希，记录工具版本、参数与采集时间 |
| 前提条件 | 预留足够证据盘空间，事先确认镜像体积上限 |
典型使用场景
- 处置动作之前保存系统停止前的运行状态
- 获取内存中的进程、网络连接与命令行信息
- 提取内存中的凭据与密钥材料
- 找回磁盘上已被删除的样本残留
- 为后续内存取证分析准备输入文件
两侧采集
两侧采集
# Windows（管理员权限）
# winpmem_mini_x64.exe C:\evidence\mem.raw
# Linux
# sudo avml /evidence/memory.lime
sha256sum /evidence/memory.lime # 采集后立即固定哈希
ls -lh /evidence/memory.* # 记录镜像实际体积
# 工具版本、参数、采集时间与主机名一并写入采集记录采集对照
| 项目 | 做法 | 注意点 |
|---|---|---|
| Windows 采集 | WinPmem 输出原始镜像 | 需管理员权限，注意驱动加载 |
| Linux 采集 | AVML 输出压缩文件 | 压缩比随内容变化，预留空间 |
| 通用要求 | 预留空间并记录工具版本与参数 | 采集记录要能支撑复现 |
采集工具通常需要加载驱动或访问特殊设备接口，先在非关键主机上验证兼容性与副作用。采集过程中系统可能变慢或短暂卡顿，需要提前与业务方确认可接受的时间窗。采集顺序还要与遏制动作一并规划：先隔离会改变内存状态，先采内存则可能延长暴露时间，两种取舍与最终选择都要写进事件记录。
内存镜像体积往往接近物理内存容量，并且包含凭据与个人数据：先确认证据盘空间够用，按密级管理镜像文件，交付或共享前明确脱敏与访问控制要求。