Volatility реально выручает с дампами памяти, особенно когда дело доходит до сессий и паролей. Autopsy с дисками — тоже классика, удобный интерфейс сильно экономит время. Wireshark без вариантов на сетевые дампы, фильтры там очень помогают быстро вычленить нужное. Steghide и zsteg иногда выручают, когда надо быстро проверить картинку на скрытый контент. Главное — держать минимум инструментов и не забивать голову лишним софтом.