用途：面向内存取证与威胁情报关联的编排型网关，把转储来源确认、内存取证、线索提取、情报关联串成完整流程，并说明何时选择哪个原子技能。
主要能力与流程：先确认是否已有 dump，按取证层级分流——整机镜像（LiME/AVML/崩溃转储等 Volatility 可解析）走内存取证分支；进程级 gcore 产物是单进程 ELF core，无内核结构，只能做进程级复盘（gdb/eu-stack），不进 re-mem-forensics。内存取证阶段依次做 dump 来源与架构确认、进程列表（pslist）、网络连接（netscan）、注入/异常（dlllist/malfind）、凭据线索（hashdump/lsadump）与可疑对象提取。线索提取整理可疑进程、注入地址、网络回连、凭据哈希、提取对象等，逐项记录证据路径与时间戳。情报关联用哈希/域名/IP 查询 VirusTotal、Any.run、hybrid-analysis，做家族与团伙关联，结果进入 IOC 列表与报告。每步产物按 sha256 与路径存档。
使用方式：按输入特征选分支——已有 dump 或进程已死走内存取证；无 dump 需现场取先做转储再回内存取证；查样本背景走威胁情报；磁盘/文件系统取证走磁盘取证分支；内存发现的可疑模块/shellcode 转二进制造核心技能静态深挖，回连行为验证转恶意软件沙箱分析；纯文件静态分析不属于本网关。容器镜像取证按“tar 归档+分层”结构解包逐层分析，重点关注配置与密钥、历史层残留、恶意镜像判定，输出镜像内容清单与可疑项列表。
适用场景：需要从内存镜像与威胁情报角度联合判断安全事件、溯源家族与团伙、汇总 IOC 的应急与分析场景。
限制与提示：资料未提供具体工具版本、授权、收费与平台支持信息；转储前需按 /proc/<pid>/maps 过滤 [vsyscall]/[vdso]；不确定转储来源会因架构不匹配导致分析全错；取证结果须留存证据链以便复现，内存线索需经静态深挖与情报多重确认后再下结论。文中引用的内部技能链接与能力标签保留原样。