Честно, вся эта тема с артефактами совсем запутала меня. Вот RAM снимать первым — понятно, а вот все эти Shellbags, SRUM и Jump Lists — это типа как хронология, по которой можно понять, что юзер делал? И как понять, что важнее — где искать первые следы, чтоб не потерять время? Просто пытаюсь уловить общий смысл, а не вдаваться в детали.