活体取证与静态分析取舍

系统仍运行时优先采集易失数据（内存、连接、进程）；已关机或可停机时做磁盘镜像：取舍取决于风险与时效。