在UNIX/Linux系统取证中，及时收集硬盘的信息至关重要，《Unix/Linux网络日志分析与流量监控》一书中，将详细讨论各种常见系统进程系统调用及镜像文件获取方法。下面简单举几个例子。在UNIX/Linux取证时很多系统和网络信息是短时存在的可谓是转瞬即逝，如何准确的捕捉到哪些蛛丝马迹呢?网络安全人员需要具有敏锐的观察力和丰富的经验下面例举几个常用的方法。首先，在收集主机上启动一个监听进程：执行完这条命令后回车，系统打开10005端口等待接受，然后在被调查的另一主机上运行相应的ps调用：几秒钟后回到命令行提示符，需要注意的是这两条命令成对出现,发送完数据后开启的端口接收数据接收完毕即关闭