Es gibt verschiedene Arten von Abbildern, die von den betroffenen Systemen erstellt und dann für die Analyse verwendet werden. Wenn das System noch eingeschaltet ist, kann ein Abbild des Arbeitsspeichers (RAM) erstellt werden. Dieses Abbild enthält viele relevante Informationen über Prozesse, Netzwerkverbindungen usw. In den meisten Fällen wird ein Abbild der Festplatte erstellt. Hier gibt es verschiedene Arten von Images, wie das Fulldisk Image und das Triage Image. Das Fulldisk Image ist eine 1:1 Bitkopie der Festplatte und enthält alle Informationen, die auf der Originalfestplatte zu finden sind. Da die Erstellung dieses Images sehr zeitaufwendig sein kann, werden in zeitkritischen Situationen auch häufig sogenannte Triage Images verwendet. Dabei werden nur vorher definierte Dateien kopiert, die von forensischem Interesse sind. Dies hat den Vorteil, dass die Analyse deutlich schneller ist, jedoch den Nachteil, dass möglicherweise nicht alle benötigten Informationen zur Verfügung stehen.