Круто расписал, Сергей! Добавлю, что иногда при быстром инциденте забывают про правильное фиксирование времени на исследуемой машине — а без синхронизации часов можно потом всю хронологию спутать. И ещё, не всякое ПО для парсинга дружит с последними версиями Windows, там тоже стоит глянуть совместимость заранее, чтоб не оказаться с пустыми ручками.