| 工具 | LiME（insmod）、AVML（静态二进制） |
|---|---|
| 注意 | 先预留空间，采集后立即计算哈希 |
示例
示例
insmod ./lime.ko "path=/mnt/ev/mem.lime format=lime"
sha256sum /mnt/ev/mem.lime | tee /mnt/ev/mem.lime.sha256加载内核模块会改变系统状态，需评估对业务与安全产品的影响并记录动作时间。
Linux 内存采集（LiME/AVML）
内存含进程、网络连接与未落盘数据，是易失性证据的核心；LiME 以内核模块方式采集，AVML 提供不加载模块的替代方案。
易错点
- 内存镜像大小通常接近物理内存，空间不足会中途失败
- 采集过程需要与主机时钟对齐，便于后续时间线融合
数据来源与参考
- LiME 官方文档（Linux Memory Extractor）
- Microsoft AVML 项目文档