易失性顺序 (Order of Volatility).

由 RFC 3227 定义的采集优先级,要求取证响应人员先收集最易失的证据,以免被覆盖或丢失。 它属于网络安全的 取证与应急响应 分类。

由 RFC 3227 定义的采集优先级,要求取证响应人员先收集最易失的证据,以免被覆盖或丢失。

易失性顺序是 DFIR 的基础原则,见于 RFC 3227,按证据消失或改变的速度排序。规范顺序为:CPU 寄存器与缓存、内核与进程内存、网络状态与 ARP 缓存、运行中的进程、临时文件系统、持久化存储、远端日志与监控数据,最后是物理配置和归档介质。响应人员必须在关机或重启之前镜像易失性源,因为 RAM、网络会话和路由状态在关机时会被销毁。在现代 Windows 应急中,这通常意味着使用 WinPmem 或 DumpIt 抓取内存,并在现场关机取证流程之前使用 KAPE 或 Velociraptor 对易失性工件进行分诊。

针对 易失性顺序 (Order of Volatility) 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 易失性顺序, RFC 3227 顺序。