Van een server waarop een incident heeft plaatsgevonden, moet bewijs voor een onderzoek worden verzameld. Welke volgorde is het meest passend volgens het principe dat bewijs wordt verzameld in de volgorde waarin het het gemakkelijkst verloren gaat (volgorde van vluchtigheid)?

Antwoord: A. Geheugeninhoud en de toestand van de huidige netwerkverbindingen → schijfinhoud → extern opgeslagen back-ups en archieven

RFC 3227 (2002), een richtlijn voor het verzamelen van bewijs bij digitaal forensisch onderzoek, raadt aan de gegevens die het gemakkelijkst verloren gaan als eerste te verzamelen. CPU-registers en caches, geheugeninhoud, draaiende processen en de toestand van netwerkverbindingen gaan na verloop van tijd of bij het uitschakelen van de stroom verloren, dus die worden als eerste verzameld. Het geheugen kan malware bevatten die niets op de schijf achterlaat, of informatie in ontsleutelde vorm. De schijfinhoud wordt daarna gekopieerd en onderzocht, en extern opgeslagen back-ups en archieven veranderen weinig en kunnen dus als laatste komen.