Qué vive solo en la memoria

El disco guarda lo que quedó escrito; la memoria guarda lo que está pasando. En un equipo encendido, la RAM contiene los procesos en ejecución con su línea de comandos, las conexiones de red abiertas, los módulos cargados dentro de cada proceso, el código que alguien escribió directamente en la memoria de un proceso y, a veces, fragmentos de lo que se tecleó o se descifró en ese momento.

Nada de eso se puede reconstruir con garantías desde el disco. Por eso la memoria se adquiere primero y por eso leerla es una habilidad aparte: la herramienta de análisis no te da respuestas, te da tablas que hay que interpretar.

Un volcado no es una grabación: es una foto de un instante. Todo lo que lees está referido a esa hora, y la herramienta la anota en la cabecera como la hora del sistema. Sin ella no puedes decir cuánto hace que arrancó un proceso ni ordenar nada contra los registros.

Abre la estación y lee la cabecera del volcado del puesto de contabilidad.

La memoria no se borra al cerrar un programa: se libera y se reutiliza cuando el sistema la necesita. Mientras nadie la pise, quedan restos de un proceso que terminó: su estructura, su hora de salida, a veces sus conexiones. Pero no hay plazo garantizado. Un proceso terminado hace dos minutos probablemente deja huella; uno de hace dos días, probablemente no.

La consecuencia práctica es que la memoria cuenta bien el presente y de forma desigual el pasado reciente, y que cuanto antes se capture, mejor.

Ninguna fuente lo responde todo. El disco es bueno para lo que se guardó, los registros para quién hizo qué y cuándo, y la memoria para el estado vivo. Un analista elige la fuente según la pregunta, y cuando una no la responde lo dice en vez de forzar la respuesta.

En la tabla del caso, cada pregunta marca qué tan bien la responde cada fuente. Cuenta cuántas de las cinco preguntas no puede responder el disco en absoluto.