Для начала хватит autopsy и volatility — они реально покрывают большую часть задач с дисками и памятью. Binwalk удобно, если попадается прошивка или штук с чужим кодом. Из нестандартного понравился strings — простой, но часто выручает, когда нужен быстрый взгляд в бинарь. Главное — не загоняться и не пытаться всё сразу, лучше поэтапно копать.