用途：在安全事件确认且已锁定被入侵主机后，于系统隔离、关机或修复之前，按易失性顺序（RFC 3227：寄存器 > 缓存 > 内存 > 磁盘）采集易失性证据，用于事件根因分析和可能的法律取证。
主要能力：获取内存镜像（Windows 用 WinPmem，Linux 用 LiME 或 /proc/kcore，macOS 用 osxpmem）；采集网络状态（活动连接、ARP 缓存、路由表、DNS 缓存、防火墙规则）；采集进程信息（命令行、父进程、加载的 DLL/module、打开的文件句柄）；记录登录用户与会话；快照系统配置（时间、环境变量、计划任务/cron、服务、Windows 注册表自启动项）；对所有证据生成 SHA256 清单并记录证据链。
必要用法：使用来自 USB 或网络共享的可信工具，不在被入侵系统上安装工具；先校验工具集完整性；建立带时间戳的证据输出目录并记录采集日志；采集后立即计算 SHA256；输出包含内存转储、网络抓取、进程列表、会话与认证数据、系统配置快照、证据清单和证据链文档。
适用场景：无文件恶意软件攻击、活动 C2 会话、内部人员数据窃取、Web 服务器被植入 Web shell、横向移动进行中。
限制：需预先获得采集授权（内部人员案件需法律/HR 批准）；依赖可信工具与安全证据存储；具体平台命令与工具版本差异需自行确认；未提供关于费用、价格或具体效果的信息。