Order of Volatility 易失性顺序

数字取证(Digital Forensics)的核心原则之一 —— 越容易消失的数据,越要先采集。

标准顺序(从最易失到最不易失)

1. CPU 寄存器 / 缓存 —— 微秒级消失,几乎抓不到
2. 路由表 / ARP 缓存 / 进程列表 / 内核统计 —— 几秒到几分钟
3. 内存(RAM) —— 重启就没,关键证据多在这里(密钥、解密数据、注入的 malware)
4. 临时文件 / Swap —— 一段时间后被覆盖
5. 磁盘文件 —— 长期保存,但可被覆盖
6. 远程日志、监控数据 —— 通常更安全(取决于保留策略)
7. 物理介质(打印输出、纸面、归档磁带) —— 最不易失

取证操作的实操含义

如果你怀疑一台机器被攻陷:

• 错的做法: 立刻重启 / 关机 —— 内存数据全没了
• 错的做法: 立刻拔网线 —— 网络状态(连接、ARP)丢了
• 对的做法: 按 Order of Volatility 顺序逐层捕获:
  1. 先做内存 dump(用 dumpit / LiME / Magnet RAM Capture)
  2. 再抓网络状态(netstat, ss -tunap, arp -a)
  3. 再做磁盘镜像(dd / dc3dd / FTK Imager)
  4. 最后才考虑关机

相关概念

• 保护和保存证据 —— 取证的完整流程,Order of Volatility 是其中一个原则
• Chain of Custody(证据保管链) —— 谁在什么时候动过证据,法庭要求严
• Write Blocker —— 防止取证过程中改动原始磁盘

为什么这事在 Security 行业越来越重要

• 现代 malware 越来越多只在内存里运行(fileless malware),关机就证据全无
• 内存里有解密的 ransomware 密钥、攻击者凭据、C2 配置
• 没按 Order of Volatility 操作 = 调查丢一半线索