用途：对已确认或疑似被入侵的终端进行数字取证调查，包括内存采集、磁盘镜像、痕迹分析与时间线重建，用于事件响应或法律程序。不适用于实时威胁狩猎（应使用 EDR/SIEM）或网络取证。
主要能力：按易失性顺序保全证据（内存、网络连接、进程、磁盘、日志）；使用 WinPMEM、FTK Imager、LiME 采集内存；用 dc3dd、FTK Imager 制作并校验磁盘镜像；用 Volatility 3 分析内存（进程、网络、注入、凭据窃取、注册表）；用 Eric Zimmerman 工具分析 Prefetch、ShimCache、AmCache、$MFT、事件日志与注册表；用 KAPE 自动采集，用 plaso/log2timeline 构建超级时间线；输出含证据链、IOC 与建议的取证报告。
使用方式：需取证工作站（Volatility 3、KAPE、Autopsy、Eric Zimmerman 工具）、写保护器、安全证据存储与证据链文档、内存采集工具及目标终端管理员或物理访问权限。示例命令：winpmem_mini_x64.exe memdump.raw；sudo insmod lime.ko "path=/evidence/memory.lime format=lime"；vol -f memdump.raw windows.malfind；kape.exe --tsource C: --tdest C:\evidence\kape_output --target KapeTriage --module !EZParser；log2timeline.py timeline.plaso disk_image.E01。
限制与注意：分析前必须先镜像，避免在活动系统上运行工具改变时间戳与内存状态；所有证据须在采集时哈希以证明完整性；缺少证据链的记录在法律程序中不可采信；仅分析磁盘会遗漏无文件攻击，须先采集内存；避免只关注单一痕迹而忽略整体时间线。具体收费、价格与平台支持暂未提供。