Materi
Glosarium NIST menyebut data volatil sebagai data pada sistem yang menyala yang hilang begitu komputer dimatikan. Karena itu RFC 3227 meminta bukti dikumpulkan dari yang paling mudah hilang ke yang paling awet, dengan contoh urutan: register dan cache; tabel routing, cache ARP, tabel proses, statistik kernel, dan memori; sistem berkas sementara; disk; data log dan pemantauan jarak jauh; konfigurasi fisik dan topologi jaringan; terakhir media arsip. RFC yang sama melarang mematikan sistem sebelum pengumpulan selesai dan melarang memercayai program yang ada di sistem itu.
Glosarium NIST mendefinisikan rantai bukti (chain of custody) sebagai proses yang melacak perpindahan bukti selama pengumpulan, pengamanan, dan analisis, dengan mencatat setiap orang yang memegangnya, tanggal dan jam pengambilan atau pemindahan, dan tujuan pemindahannya. RFC 3227 menambahkan: di mana, kapan, dan oleh siapa bukti ditemukan dan diperiksa, siapa memegangnya selama periode apa, dan kapan serta bagaimana serah terimanya terjadi.
NIST SP 800-86 meminta pemeriksaan dilakukan hanya pada salinan, dan integritasnya dibuktikan dengan menghitung message digest (hash) data asli dan salinan lalu membandingkannya: keduanya harus sama. Hash yang dicatat saat bukti diambil dihitung ulang sebelum analisis; satu karakter berbeda berarti salinan berubah atau rusak.
