活体取证与静态分析取舍是什么
主机仍在运行时优先采集易失数据：内存、网络连接、进程、登录会话、临时文件，这些内容在重启或断电后即消失。已关机或可安全停机时做磁盘镜像，分析可离线复现。两者不冲突，正确顺序是先易失后镜像，顺序反过来就不可补救。
基本信息
| 用途 | 决定采集策略与执行顺序 |
|---|---|
| 活体侧 | 内存、连接、进程、会话、临时文件 |
| 静态侧 | 磁盘镜像、日志归档、文件系统镜像 |
| 顺序原则 | 按易失性由高到低：内存 → 连接 → 进程 → 磁盘 |
典型使用场景
- 生产服务器不允许停机，只能在线采集
- 挖矿或勒索进程仍在活跃，需要先抓内存与连接
- 主机已被业务方直接断电，只能做磁盘分析
- 怀疑存在无文件落地的内存驻留木马
- 虚拟化环境中用快照替代停机，降低业务影响
活体采集顺序
活体采集顺序
date; uptime # 先记录时间与运行时长
ss -antp > conn.txt; ps -ef > ps.txt # 连接与进程，易失性最高
last -ai > logins.txt; w # 当前与最近登录会话
tar -cf tmpfiles.tar /tmp /var/tmp 2>/dev/null # 临时目录（常被清理）
dd if=/dev/mem of=mem.img bs=1M 2>/dev/null # 内存（正式场景建议用 LiME 等专用工具）
# 采集完成后立即计算哈希，再决定是否停机做磁盘镜像取舍对照
| 主机状态 | 优先动作 | 原因 |
|---|---|---|
| 仍在运行 | 易失数据采集 | 重启或断电即永久丢失 |
| 可安全停机 | 磁盘镜像 | 可离线复现，支持深度分析 |
| 必须保持运行且要深挖 | 只读方式挂载磁盘或做快照 | 兼顾业务连续性与取证完整性 |
采集工具尽量用静态编译的可信版本，从只读介质运行；在目标机上安装软件或运行会写盘的程序，都会改变系统状态并影响证据可采信度。
采集顺序一旦反了——先做镜像后采内存——内存中的木马、密钥与会话信息就永久丢失，无法通过任何手段补救。