Se você estiver enfrentando um APT, a melhor opção é configurar um honeypot e investigar completamente todo o tráfego que entra e sai dele, além de monitorar o servidor.
A medida de passar pela memória é tão cara em termos de tempo e esforço que geralmente não vale a pena, a menos que você tenha tentado todos os outros métodos, e se você determinar que vale a pena, é melhor configurar um honeypot que lhe permita para descarregar facilmente a memória e o estado do sistema para outra máquina em tempo real para que você possa fazer análises com menos ameaças de serem detectadas enquanto a máquina estiver em funcionamento.
Eu tive uma situação em que o invasor guardava tudo na memória na medida em que, com exceção dos logs, a máquina parecia exatamente com sua imagem depois de desligada e ligada novamente. Eles então voltavam a usá-lo novamente porque a vulnerabilidade ainda estava lá - eles não precisavam deixar nenhum backdoor para eles mesmos. Uma avaliação de memória poderia ter ajudado aqui, mas observar o tráfego foi suficiente nesse caso para identificar a vulnerabilidade rapidamente.
Portanto:
A única razão para evitar sobrecarregar a energia e fazer a avaliação de disco off-line é se você vai passar pela dificuldade de fazer uma análise completa da memória da ameaça enquanto estiver no lugar e operando. Se você chegou ao ponto em que isso é necessário, então não há razão para puxar qualquer plug.
Se você não está fazendo uma análise de memória, a melhor opção é puxar o plugue - puxar a ethernet (ou usar um comando de desligamento) só dará aviso prévio ao software do invasor - o que importa ocasionalmente. / p>
Então:
Puxe os dois, a menos que você esteja fazendo uma análise de memória. Nesse caso, não puxe nenhum dos dois.