揮発性の順序 (Order of Volatility).

揮発性の順序は DFIR の基本原則で、RFC 3227 に明文化されています。証拠を変化・消失の速さで順位付けし、標準的な順序は次のとおりです: CPU レジスタ・キャッシュ、カーネル/プロセスメモリ、ネットワーク状態と ARP キャッシュ、実行中プロセス、一時ファイルシステム、永続ストレージ、リモートのロギング・モニタリングデータ、最後に物理構成およびアーカイブメディア。対応者は電源断や再起動前に揮発性ソースを取得しなければなりません。RAM、ネットワークセッション、ルーティング状態はシャットダウンで失われるからです。現代の Windows IR では、WinPmem や DumpIt でメモリを取得し、KAPE や Velociraptor で揮発性アーティファクトをトリアージしてから、フォレンジックなシャットダウン手順に移るのが定石です。