Цифровая криминалистика
Сбор и анализ доказательств после инцидента безопасности: что произошло, когда и как далеко зашёл атакующий.
Методы: дампы памяти, образы дисков, анализ логов, реверс-инжиниринг вредоносного ПО. Цепочка хранения доказательств критична, если улики могут попасть в суд. Инструменты: Volatility, Autopsy, FTK. Тесно связана с реагированием на инциденты.