Qué guarda la memoria que el disco no

Un archivo en disco y ese mismo programa funcionando no se ven igual. En disco, el contenido puede estar guardado de forma densa o transformada, y un informe estático solo encuentra lo que está a la vista: nombres de funciones, secciones, poco más. En memoria, el programa ya está en la forma en que el sistema lo ejecuta, y su configuración vive ahí en claro mientras corre.

Por eso el análisis de memoria no sustituye al estático: lo complementa. Cuando el informe del disco sale casi vacío, la memoria suele ser el sitio donde aparecen las cadenas que sí sirven.

El informe estático listó once cadenas, todas nombres de funciones del sistema o texto del formato del archivo. En las cadenas de la memoria hay líneas de configuración que en el disco no estaban. Una de ellas es el nombre de un objeto de exclusión mutua (mutex): un nombre fijo que un programa registra para no ejecutarse dos veces a la vez. Ese nombre suele repetirse en todas las copias del mismo programa, y por eso es un buen dato para buscar.

Abre cadenas-memoria.txt y localiza la línea que declara el nombre del mutex.

Un volcado es una fotografía de un solo instante. Cuenta qué procesos había, con quién hablaban y qué texto tenían cargado a las 16:22:40, pero no guarda la historia que llevó hasta ahí. De cuándo llegó el archivo, por qué puerta y qué hizo antes de ese momento se enteran otras fuentes: el disco, los registros del sistema, el correo y el proxy.

Eso importa al redactar: una conclusión sobre el origen no puede apoyarse solo en la memoria.

Antes de leer una sola salida se lee la cabecera: de qué sistema es el volcado, cuánta memoria tenía, cuándo se adquirió y en qué estado estaba el equipo. Sin esos datos no se pueden fechar las demás salidas ni saber si el volcado está completo. También se anota la cadena de custodia que lo respalda.