7、数字取证中的分页文件与事件响应

数字取证中的分页文件与事件响应

1. 内存与分页文件基础

1.1 内存类型

如今，笔记本电脑和台式机中主要使用DDR3和DDR4内存，但也可能会遇到使用DDR2的旧服务器等传统机器。常见的台式机内存类型有SDRAM、DDR1、DDR2和DDR3。笔记本电脑使用的DDR内存采用更紧凑的小外形双列直插式内存模块（SODIMM）。

1.2 分页文件的作用

操作系统可以将硬盘的一部分用作RAM的扩展，这被称为虚拟内存。对于内存有限的计算机或笔记本电脑来说，这是个不错的选择。虽然硬盘速度比RAM慢得多，但磁盘上的交换或分页文件可以存储访问频率较低的文件和程序，使RAM可用于存储频繁访问的数据。这个过程涉及操作系统将不常用的数据页交换到硬盘上的专用分页文件区域。

1.3 分页文件在数字取证中的重要性

分页文件在取证调查中非常重要。它是Windows中一个名为pagefile.sys的隐藏文件，存储在硬盘上，虽然不像RAM那样易失，但可能包含加密区域的密码、访问过的网站信息、打开的文档、登录用户、打印内容等。建议将分页文件的大小设置为内存的1.5倍，并尽可能存储在单独的驱动器上，而不仅仅是单独的分区。pagefile.sys可以在Windows注册表路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management中找到。

2. 存储介质与文件系统

2.1 非易失性存储介质

非易失性存储介质即使在断电后仍能存储数据，包括各种类型的硬盘驱动器（如机械硬