Durch das Kopieren wird das ursprüngliche Protokoll automatisch gelöscht, um sensible Daten zu verbergen.

So können Ermittler mit einer Kopie arbeiten, während die ursprünglichen Beweise unverändert bleiben.

Die Kopie schreibt alle Ereigniszeitstempel auf die aktuelle Uhrzeit um.

Allein das Vorhandensein einer kopierten Datei beweist, welche IP-Adresse den Angriff ausgeführt hat.