该技能提供内存取证与反内存取证的双面方法论：先理解蓝队如何从内存中发现恶意行为，再据此设计红队规避对策。
蓝队视角：内存获取可用 DumpIt.exe /OUTPUT memory.raw、winpmem_mini_x64.exe memory.raw、sudo insmod lime-$(uname -r).ko "path=memory.lime format=lime"，或通过 Velociraptor agent 远程获取。分析以 Volatility3 为主，核心命令包括 vol -f mem.raw windows.info、windows.pslist、windows.psscan、windows.malfind、windows.netscan、windows.dlllist --pid <PID>、windows.cmdline。关键检测指标有 RWX 内存页、父进程异常、pslist 与 psscan 差异（进程隐藏/DKOM）、同名异路径进程、异常 VAD 标签、SSDT/IDT hook、异常端口连接等。
红队视角：针对 malfind 可采用 RW→RX 权限、NtMapViewOfSection、Module Stomping、APC/Timer 回调执行；针对进程审计可用 Parent PID Spoofing、LOLBins、进程名路径模仿、命令行正常化；内存加密参考 Cobalt Strike Sleep Mask 及 Havoc、Sliver、BRC4 等实现；凭据方面可用 NanoDump、SSP 注入、comsvcs.dll MiniDump 或 Kerberos 票据攻击；痕迹清除手段有限，强调预防优于清除。
适用场景为内存 dump 分析与反取证策略设计。限制：资料未提供具体收费、平台与效果数据，部分技术细节需参考其 references 文件。