Честно, когда только начинаешь, этот весь форензик Windows кажется каким-то лабиринтом с кучей непонятных файлов и моментов. Память первой снимать — вроде понятно, но вот дальше с этими артефактами как-то тяжело разобраться, что реально важно, а что можно пропустить. Хорошо, что есть какие-то инструменты, хотя без головой работы всё равно никак.