Пока только начал ковыряться, но больше всего понравился Autopsy — визуально проще сориентироваться. Wireshark тоже выручает, когда с трафиком работают. Volatility пока сложно, но понимаю, что без него никак. Главное, не злоупотреблять разными программами, а лучше чуть меньше, но освоить основное. Простые инструменты тоже в помощь, не обязательно сразу всё на прокачку брать.