Корреляция артефактов — это действительно ключ. Один лог в Event Log мало что скажет без проверки Prefetch или MFT, а реестр покажет, есть ли закрепление. Без сводной таблицы времени и сопоставления всех данных расследование превратится в набор разрозненных фактов, которые легко пропустить или неправильно понять.