Набор инструментов круто помогает не слиться на первых задачах. Особенно Volatility и testdisk — с ними проще понять, где искать следы. Главное — не гоняться за автоматикой, а разбираться постепенно, шаг за шагом. Такие дела.