标签：DFIR | z0sen's Blog

volatility 内存取证工具

近来碰到一些 Windows 取证问题，其中内存取证这块发现比较有趣，学习了一下 volatility，将其安装使用过程记录了下来。

内存取证是一种数字取证技术，通过分析计算机系统的内存（RAM）数据来获取证据。内存取证的重要性在于内存中包含了系统的实时状态信息，如运行中的进程、网络连接、登录会话、解密密钥和其他潜在的证据。