Согласен, без объединения всех артефактов даже простое расследование быстро превращается в хаос. Пока не начал сводить Event Log, Prefetch и MFT вместе — реально запутывался, а с корреляцией становится намного понятнее, что и когда происходило.