Всё правильно, главное — порядок сбора и снимай память первым делом. Если RAM пропустишь, много важного уйдёт безвозвратно. KAPE штука классная, но не забывай, что иногда конкретные артефакты требуют ручного внимания, особенно $UsnJrnl и Shellbags. Без синхронизации времени и правильных часовых поясов весь таймлайн рухнет. И да, Velociraptor реально выручает, когда куча машин в зоне риска.