在不运行样本的情况下检查文件属性、结构和嵌入内容。

在收集任何证据前删除文件。

只观察恶意软件的实时网络连接。

直接在生产主机上运行样本。