样本现场采集（从现象到可用样本）

任务分类器（intent → 路径）

用户目的	路径
只有现象描述（"某程序不落盘""行为异常"），没有样本文件	→ 步骤 1（异常执行区扫描）→ 2（执行上下文归属）→ 4（dump 整区）
已知进程，但磁盘上没有样本文件（注入/内存驻留）	→ 步骤 2 → 4
服务端常驻载荷（Web 中间件/Java 等，请求触发）	→ 平台分支的"服务端"节（内存马）
载荷疑似驱动/内核态（读写内存类外挂/rootkit）	→ [[platform-windows]] 内核侧
嵌入式/微内核目标（seL4 系统）	→ [[platform-sel4]]（capability provenance 路线）
有回连/下载行为，想拿原始样本	→ 步骤 7（网络与落盘侧）