我正在使用一个系统（一台笔记本电脑，一个硬盘驱动器），该系统在相当长的一段时间内被 LEO 保管。笔记本电脑运行 Windows XP Professional，带有恢复分区，硬盘为 2.5 英寸 40 GB 驱动器，具有 NTFS 文件系统

完全出于学术原因，我正在考虑使用 DD 的取证分支对驱动器进行取证成像（我在想如果dcfldd），然后制作一份副本。

考虑到我知道系统已经失控多久了，我也在考虑安装注册表以检查在那段时间插入系统的设备（假设他们没有像好的熊猫一样离线做所有事情) 并检查在此期间已修改的文件（有没有简单的方法可以做到这一点？）。

我错过了什么吗？还有其他地方我应该看吗？