用途：在确认或疑似安全事件需要保全证据时，按 NIST SP 800-86 与 RFC 3227 易失性顺序指导数字取证证据采集，适用于根因分析、法律程序或合规要求。角色为 SOC 分析师、安全工程师，预计耗时 30-60 分钟。
主要能力：建立证据链记录；按 RFC 3227 易失性顺序（寄存器/缓存、内存与进程表、临时文件系统、磁盘、远程日志、物理配置、归档介质）采集；内存获取（LiME、WinPmem、DumpIt）；易失性系统状态采集（网络、进程、用户会话、临时文件）；磁盘镜像（dc3dd、ewfacquire、FTK Imager）；日志保全；云取证（AWS、Azure、GCP 快照与日志导出）；按 P0-P4 分级证据处理；输出含采集摘要、证据清单、易失性顺序合规表、证据链等章节的报告。
使用方式：先确认事件 ID、受影响系统、系统状态、法律保留、授权、存储介质、可用工具、云权限、时间同步与加密状态；随后建立证据链、按易失性顺序采集、计算 SHA-256 哈希并验证、导出日志、处理云环境。命令示例：sudo insmod lime-$(uname -r).ko "path=/evidence/[hostname]memory[YYYYMMDD_HHMM].lime format=lime"；dc3dd if=/dev/sda of=/evidence/[hostname]disk[YYYYMMDD].dd hash=sha256 log=/evidence/[hostname]disk[YYYYMMDD].log；aws ec2 create-snapshot --volume-id vol-XXXX --description "Forensic snapshot IR-YYYY-NNNN"。
适用场景：需保全证据的事件、易失数据面临重启风险、需磁盘镜像、需建立证据链、云环境取证、日志面临轮转丢失。
限制：不适用于事件分类与响应协调、遏制策略选择或事后复盘；云快照非位流镜像，仅含已分配块；无预启用日志时关键证据可能不存在；无服务器环境无磁盘可镜像；法庭可采信证据仍需人工审查者。资料未提供具体收费、价格与平台支持信息。