Сначала зафиксируйте архитектуру, версию, текущее время и активность, затем согласуйте способ создать снимок состояния или резервную копию либо предоставить доступ только для чтения. Не очищайте журналы, не восстанавливайте данные, не меняйте срок хранения записей, не запускайте неизвестные утилиты и не проводите ресурсоёмкие эксперименты на рабочей системе.
Для полученной копии зафиксируйте команды, участника, дату, часовой пояс, размер и контрольные суммы. Оригинальный набор сохраните отдельно, а исследование ведите на рабочей копии. Если остановка невозможна, документируйте активные процессы и риск изменения данных во время копирования.
Если система уже передана назначенному эксперту, согласуйте любые новые действия и материалы через суд или орган расследования, чтобы сохранить установленный порядок получения объектов.