大量日志、进程快照、内存痕迹都保存在运行环境中，盲目重启会直接丢失关键证据；选取两台尚未出现加密迹象，但在线日志存在异常访问记录的服务器，做内存镜像与磁盘只读快照；单独标记已经出现.kitten后缀文件的终端…...
