Cyfrowa informatyka śledcza
Zbieranie i analiza dowodów po incydencie bezpieczeństwa — co się stało, kiedy i jak daleko zaszedł atakujący.
Techniki: zrzuty pamięci, obrazy dysków, analiza logów, inżynieria wsteczna złośliwego oprogramowania. Łańcuch dowodowy ma kluczowe znaczenie, jeśli materiał może trafić do sądu. Narzędzia: Volatility, Autopsy, FTK. Ściśle związana z reagowaniem na incydenty.