Door Anoniem (=TS?): Het gaat om het integer veiligstellen van de data Als ik eerst een memorydump maak, pas ik dan niet bepaalde files/timestamps op het systeem aan? Vandaar dat mij de ideale volgorde leek: eerst de writeblocker voor de harddisk, vervolgens de memory dump maken. Op internet lees ik het echter vaak andersom, ik ben benieuwd of iemand me kan uitleggen waarom dit is. Duidelijk. Bij het maken van een memorydump pas je GEEN bestanden aan op de HDD. Het kan zijn dat reeds lopende processen dat wel doen, maar het maken van een memorydump gaat zo snel dat dit in de praktij niet zo'n groot probleem is. Natuurlijk is het wel zaak dat je de dump op een ander medium bewaart dan de HDD in kwestie. Vervolgens kun je je op de HDD storten. Naar mijn ervaring werkt het het beste wanneer je deze overzet op een ander (VEILIG!) systeem zonder internetverbinding. Werk nooit met de originele data, maar altijd met een kopie ervan. Het enige probleem zou schijf-encryptie kunnen zijn, maar daar heb je dan ook ...