Imágenes forenses, bloqueadores de escritura y verificación de hash

Una vez capturados los datos volátiles, el siguiente paso es preservar los medios de almacenamiento. La regla es que nunca analizas el original. En su lugar, creas una imagen forense: una copia bit a bit de todo el dispositivo, incluidos el espacio no asignado, el espacio residual (slack space) y los restos de archivos borrados, no solo los archivos visibles. Una copia normal de archivos omite estos datos ocultos y cambia metadatos como las horas de acceso, así que no es suficiente para una investigación.