I dati volatili sono informazioni che esistono solo per breve tempo o cambiano rapidamente, come il contenuto della RAM, le sessioni di rete attive, gli elenchi dei processi, i file aperti e i token di autenticazione in tempo reale. A differenza dei file su disco, possono scomparire quando un sistema si spegne, un processo termina o una connessione va in timeout.
Sono importanti nella sicurezza informatica perché questi artefatti spesso mostrano i segnali più chiari di ciò che un sistema stava facendo nel momento della compromissione. Gli aggressori possono lasciare payload in memoria, nascondere connessioni di comando e controllo nelle sessioni attive o usare tecniche fileless che lasciano poche tracce su disco. I difensori e i team forensi raccolgono i dati volatili per primi per preservare le prove, confermare se il malware è ancora attivo e identificare utenti, processi o host remoti coinvolti. Una pratica comune include l'acquisizione della memoria, la registrazione dei processi e dei socket in esecuzione e la documentazione dei timestamp prima di apportare modifiche al sistema.