Investigation numérique Digital forensics
Collecte et analyse de preuves après un incident de sécurité — ce qui s'est passé, quand, et jusqu'où l'attaquant est allé.
Les techniques : copies de la mémoire, images disque, analyse de journaux, rétro-ingénierie de logiciels malveillants. La chaîne de conservation (chain of custody) est déterminante dès lors que les preuves peuvent finir devant un tribunal. Outils : Volatility, Autopsy, FTK. Discipline très proche de la réponse aux incidents.