Volatility и Wireshark — это, конечно, база, с ними многое решается быстро и понятно. Но без Autopsy или хотя бы простого hex-редактора порой сложно погрузиться в детали образов и файлов. Кто-то заморачивается на куче инструментов, я бы советовал сначала освоить минимум, чтобы не запутаться в потоке данных и не потерять фокус на основной задаче. Чисто для старта — так, чтоб было проще и эффективнее.