用途：面向内存取证任务，提供采集、分析与痕迹提取的流程指导，用于事件响应和恶意软件分析。给出最佳实践、检查清单与可执行步骤。
主要能力：文档覆盖 Windows、Linux、macOS 及虚拟机的实时内存采集命令（如 winpmem_mini_x64.exe memory.raw、sudo insmod lime.ko "path=/tmp/memory.lime format=lime"、osxpmem 等）；Volatility 3 的安装与使用（pip install volatility3，vol -f memory.raw <plugin>），以及进程分析（windows.pslist、pstree、psscan、memmap、envars、cmdline）、网络分析（netscan、netstat）、DLL 与模块分析（dlllist、ldrmodules、modules、moddump）、注入检测（malfind、vadinfo、vadyarascan）、注册表分析、文件系统痕迹（filescan、dumpfiles、mftscan）、Linux/macOS 分析插件、恶意软件分析与事件响应工作流、Windows 进程数据结构、检测模式、凭据提取、YARA 集成与字符串分析。
使用方式：先明确目标、约束与所需输入，再按工作流运行相应命令，并用多种方法与插件交叉验证结果。
适用场景：内存取证相关任务与工作流。
限制：任务与内存取证无关时不适用，也不覆盖该范围之外的领域或工具；采集需相应权限，内存易失需尽快分析；符号表等具体环境依赖和收费、价格等信息暂未提供。