Без базового набора типа Volatility и Wireshark на форенсис CTF как без рук — остальные утилиты уже вокруг этих двух пузырятся. Остальное можно подтягивать по ходу, главное не носиться с кучей всего сразу, а то засосет и забудешь, зачем вообще начал. Поддерживаю идею брать пару «старых добрых» и доводить их до автоматизма, остальное — баловство для тех, кто тусит долго.