Главное в форензике Windows — не срываться и чётко соблюдать порядок. Сначала снимаешь RAM — это самое ценное и быстро уходит. Дальше — важные артефакты вроде $UsnJrnl и Shellbags, которые часто упускают, а они показывают реальную картину. Инструменты типа KAPE и Velociraptor облегчают сбор, но без ручного анализа и понимания базовых моментов никак. Главное — не отключать машину сразу и сохранять всю цепочку доказательств.