第3章 内存获取技术

物理内存镜像的获取是进行在线取证的基础，如何快速并完整地获取内存镜像是内存取证技术的关键，由于在线取证是在系统运行过程中进行的，而内存中的数据在系统运行过程中是不断变化的，因此内存数据能否及时获取对后续的分析工作起决定性的作用。

目前的内存镜像获取方法主要分为基于硬件设备的和基于软件的。两种方式虽然都能完整获取到内存中的数据，但是二者也有很大的差异。通过硬件获取，可以最大限度地保持数据的原始性，但是需要特殊的物理设备支持，甚至需要提前安装在目标计算机上。软件方式可能会对原有的数据产生一定程度的干扰，不需要特定硬件设备的支持。如果操作合理，也能得到较为完整的内存数据镜像。