7、数字取证中的内存分页文件与事件响应

数字取证中的内存分页文件与事件响应

1. 内存与分页文件基础

1.1 内存类型

如今的笔记本电脑和台式机主要使用 DDR3 和 DDR4 内存，但也可能会遇到使用 DDR2 的旧服务器等遗留设备。常见的桌面内存类型有 SDRAM、DDR1、DDR2 和 DDR3 等。笔记本电脑使用的 DDR 内存通常采用更紧凑的小外形双列直插式内存模块（SODIMM）。

1.2 分页文件的作用

操作系统可以将硬盘的一部分用作内存（RAM）的扩展，这被称为虚拟内存。对于内存有限的计算机或笔记本电脑来说，这是个不错的办法。虽然硬盘比内存慢得多，但硬盘上的交换或分页文件可以存储访问频率较低的文件和程序，让内存可以存储频繁访问的数据。这个过程涉及操作系统将不常用的数据页交换到硬盘上的专用分页文件区域。

1.3 分页文件在数字取证中的重要性

分页文件在数字取证调查中非常重要。它在 Windows 中是一个名为 pagefile.sys 的隐藏文件，虽然不像内存本身那样易失，但可能会揭示加密区域的密码、访问过的网站信息、打开的文档、登录的用户、打印的项目等。机械驱动器上的数据通常是碎片化存储的，但分页文件的数据可以连续存储，从而实现更快的访问速度。建议将分页文件的大小设置为内存量的 1.5 倍，并尽可能将其存储在单独的驱动器上，而不仅仅是单独的分区。pagefile.sys 可以在 Windows 注册表路径 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management 中找到。

2. 存储介质与文件系统