Los límites del volcado

Si en el volcado no aparece un proceso, un módulo o una conexión, eso solo significa que no se ve en este volcado. Puede no haber existido, haber terminado hace tiempo, estar en una zona no capturada, estar en el archivo de paginación o haber sido ocultado. El informe lo redacta con esa cautela: «no se observó» en lugar de «no ocurrió».

Esta honestidad no debilita el análisis: es lo que permite que otra persona lo revise sin encontrar una afirmación que el volcado no sostiene.

Lo primero que se mira de un volcado es si está completo. El tamaño del archivo debería acercarse a la cantidad de RAM instalada; si no, falta una parte y la herramienta de captura suele avisarlo. Un volcado a medias no se desecha: se usa sabiendo qué no cubre, y se anota en el informe.

Abre adquisicion.txt y compara la RAM instalada con el tamaño del archivo del volcado.

Cuando una herramienta no puede leer una zona, no inventa: lo dice con un mensaje. En cmdline es frecuente ver que la línea de comandos de algún proceso «no es accesible» porque esa página no estaba en la memoria física al capturar. No es un fallo del análisis; es un límite que se registra junto al PID afectado.

Revisa cmdline-parcial.txt y busca la fila que no devuelve la línea de comandos.

Algunos programas intentan que las herramientas no los vean: se quitan de una lista, sacan un módulo de las listas del proceso, copian el nombre de uno legítimo o borran el registro de eventos. Todas esas técnicas engañan a una forma de mirar, y casi siempre otra las delata. Por eso se usan plugins complementarios, como los de las salas anteriores, y se contrasta con otras fuentes.

Hay una limitación honesta: si quien oculta tiene control profundo del sistema, también puede alterar las estructuras que lee la herramienta. Analizar el volcado fuera del equipo vivo ayuda, porque lo que miente en el equipo no controla la herramienta, pero no vuelve infalible el resultado.

La RAM es limitada, así que el sistema pasa a un archivo del disco las páginas de memoria que no se usan en ese momento: es la memoria virtual, en un archivo de paginación. Un volcado de la RAM no incluye esas páginas, y puede contener justo lo que faltaba (por ejemplo, la línea de comandos de la tarea anterior).

La captura de ese archivo es una adquisición aparte, desde el disco. El registro de adquisición dice qué se dejó fuera.