What is the first step in the process of memory forensics?

Đáp án đúng: "Creating a memory dump of the target system". Pháp chứng bộ nhớ (memory forensics) làm việc với RAM, vốn là dữ liệu dễ bay hơi (volatile) mất đi khi tắt máy, nên bước đầu tiên luôn là thu nhận: chụp toàn bộ bộ nhớ vật lý ra tệp ảnh (memory dump) bằng công cụ như DumpIt, WinPmem, FTK Imager hoặc lấy tệp .vmem của máy ảo, càng sớm càng tốt để giữ được trạng thái tiến trình, kết nối mạng và khoá giải mã; sau đó mới phân tích ảnh bằng Volatility. Bác: "Extracting files from the disk" thuộc pháp chứng đĩa (disk forensics), không phải bộ nhớ. "Analyzing network traffic" là pháp chứng mạng dựa trên gói tin bắt được; thông tin kết nối nằm trong RAM chỉ đọc được sau khi đã có ảnh bộ nhớ. "Scanning for malware signatures" là một bước phân tích, ví dụ chạy yarascan hay malfind trên ảnh, nên chỉ làm được sau khi đã chụp ảnh.