Согласен с выбором, Autopsy реально удобен для старта, хотя медлит порой. Wireshark — просто мастхэв для трафика. Volatility пока грызу на зубок, тоже без него сложно. Главное, не забивать сразу много, а брать по чуть-чуть и разбираться в каждом инструменте. Слишком много софта — только путаница и потеря времени.