内存取证基础
通过分析仅在系统运行时存在的证据，学习内存取证的基础知识。一些最有价值的应急响应数据，包括活动进程、实时网络连接、明文密钥以及内存中的恶意软件痕迹，往往不会以可用的形式写入磁盘。本课程将教你如何捕获内存、执行快速分类（Triage），并使用 Volatility 更系统地调查易失性证据。
为什么这很重要
内存取证通常是了解当前系统是否遭受入侵的最快方法。磁盘取证展示的是留下的痕迹，而内存（RAM）则能揭示当前正在发生的事情，或捕获前一刻发生的情况。这使得内存分析对于应急响应和恶意软件分类尤为重要。
本课程侧重于易失性证据的实际处理。你将捕获一个内存镜像，快速搜索明显的指标，然后使用 Volatility 提取支持深入分析的进程和网络信息。
你将学到什么
- 从实时系统中捕获内存，同时保护易失性证据。
- 使用简单的命令行工具对原始内存进行快速分类。
- 使用 Volatility 检查进程、连接和隐藏活动。
- 了解哪些类型的证据最有可能仅出现在内存中。
- 通过更清晰的内存分析工作流来调查实时安全事件。
课程路线图
- 内存提取：从实时系统中捕获内存镜像。
- 使用 Strings 分析内存：使用快速分类技术从原始内存中提取明显的指标。
- Volatility 简介：应用 Volatility 插件来检查进程和网络证据。
- 实时分类挑战：在发生安全事件时捕获并分析内存，以识别隐藏的恶意活动。
课程目标人群
- 从磁盘取证转向实时事件分类的学习者。
- 需要了解内存分析工作流的应急响应人员。
- 调查恶意软件、隐藏进程或易失性网络活动的安全分析师。
学习成果
完成本课程后，你将能够捕获并检查易失性内存证据，提取有意义的进程和网络指标，并利用内存分析来加强应急响应调查。
