After acquiring a memory dump, what is the next step in memory forensics?

Đáp án đúng: "Analyzing the contents of the dump using specialized tools". Điều tra bộ nhớ đi theo hai bước: thu bộ nhớ (acquisition) rồi phân tích; sau khi có tệp dump, nhà phân tích dùng công cụ chuyên dụng như Volatility để xác định phiên bản hệ điều hành, liệt kê tiến trình bằng pslist và psscan, xem kết nối mạng bằng netscan, tìm vùng mã bị tiêm bằng malfind và trích tệp thực thi ra khỏi bộ nhớ. "Running antivirus scans" chỉ so chữ ký trên chuỗi byte, không dựng lại được cấu trúc nhân hay danh sách tiến trình trong dump, nên không thay thế được phân tích. "Rebooting the system" không phải bước điều tra, khởi động lại còn xoá sạch trạng thái RAM còn lại và có thể kích hoạt cơ chế bám trụ của mã độc. "Checking system logs" là nguồn bổ sung thuộc điều tra đĩa, không phải bước kế tiếp xử lý bản dump.