按易失性排序采集
易失性数据的价值随时间快速下降：寄存器与缓存几秒内变化，内存与网络连接在重启或进程退出后消失，磁盘与归档相对稳定。因此采集顺序按易失程度从高到低排列：内存 → 网络连接 → 运行进程与会话 → 磁盘 → 备份与归档。条件允许时几项可以并行进行，但优先级不能颠倒——先做能保存「即将消失的证据」，再处理可以慢慢分析的稳定材料。
基本信息
| 顺序原则 | 易失性从高到低：内存 > 网络连接 > 进程会话 > 磁盘 > 归档 |
|---|---|
| 内存侧 | 内存镜像（条件允许）、内核与进程状态 |
| 网络侧 | 连接与监听、路由表、ARP 缓存、DNS 缓存 |
| 进程侧 | 进程列表与命令行、登录会话、环境变量 |
| 磁盘侧 | 镜像、日志副本、文件系统元数据 |
| 记录要求 | 每条采集命令与输出都带时间戳，形成采集清单 |
典型使用场景
- 现场处置前保存内存中的密钥、连接与注入痕迹
- 确认当前在线的攻击者会话与来源地址
- 重启或关机前完成易失数据采集，避免证据随重启消失
- 云主机上通过控制台或快照辅助采集，顺序仍按易失性排列
- 为后续离线分析（镜像、日志）准备可比对的即时状态
- 多台主机同时受影响时，按易失性安排人手与采集顺序
常见采集对象
常见采集对象
# 网络连接与监听（最先做，随连接关闭消失）
ss -tunap | tee /evidence/ss_$(date -u +%Y%m%dT%H%M%SZ).txt
# 进程与命令行、父子关系
ps -eo pid,ppid,user,lstart,etime,cmdww | tee /evidence/ps_$(date -u +%Y%m%dT%H%M%SZ).txt
# 登录会话与在线用户
w; who; last -F | head -20
# 路由与 ARP、DNS 缓存（视系统支持）
ip route; ip neigh
# 内存镜像（如条件允许，优先于磁盘镜像）
# 磁盘与日志副本放最后，它们相对稳定采集顺序与环境差异
| 对象 | 易失程度 | 注意事项 |
|---|---|---|
| 内存 | 最高，重启即丢失 | 需要专门工具与足够存储空间，先评估可行性 |
| 网络连接 | 高，连接关闭即消失 | 至少连续采样两次，捕捉短连接 |
| 进程与会话 | 高，进程退出即消失 | 先记录再处置，不要先 kill |
| 磁盘镜像 | 低，可事后制作 | 采集时不影响源盘写入，通常最后做 |
| 归档与备份 | 最低，可从存档获取 | 注意备份本身可能已被攻击者接触 |
随手重启验证是证据灾难。清理或重启之前先把易失数据采下来，尤其是内存与连接状态；重启后再想核对当时的状态已无可能。
每条采集命令与输出都记录时间戳，既能证明采集时点，也便于把输出内容放进统一时间线与其他来源比对。