Dit is mijn vraag inderdaad. De reden hoeft niet direct malware te zijn, iedere vorm van (cyber)crime. Het gaat om het integer veiligstellen van de data Als ik eerst een memorydump maak, pas ik dan niet bepaalde files/timestamps op het systeem aan? Vandaar dat mij de ideale volgorde leek: eerst de writeblocker voor de harddisk, vervolgens de memory dump maken. Op internet lees ik het echter vaak andersom, ik ben benieuwd of iemand me kan uitleggen waarom dit is. 1) Als PC op slot spring ben je fucked (geen RAMdump). 2) Als iets crasht ben je fucked (geen RAMdump). 3) De kans dat er dingen op de HDD gebeuren is kleiner dan de kans dat er "relevante" data uit RAM-geheugen overschreven wordt. 4) De HDD-blockers van politie/Fox-IT zijn hardware apparaten, de HDD moet dus losgekopelt worden. Dan wil je de stroom eraf hebben, en dat betekent dat je RAM-geheugen weg is. (Andere volgorde is dan vrij lastig). 5) Software write-blockers overschrijven RAM-geheugen, kans op overschrijving van relevante data. Ik ...