本包目录（137 条）

易失性数据收集顺序

按易失程度从高到低：CPU 寄存器/缓存→内存→网络连接→运行进程→磁盘→备份/归档；条件允许时按此顺序并行采集。

用途	按易失性排序采集
顺序	内存>连接>进程>磁盘>归档

常见采集对象

网络连接与监听（ss -tunap）
进程与命令行（ps auxww）
登录会话（w / who）
路由与 ARP 表
内存镜像（如适用）

顺序服务于"保存将消失的证据"这一目标。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌