La copia reescribe todas las marcas de tiempo de los eventos con la hora actual.

La existencia de cualquier archivo copiado demuestra qué IP realizó el ataque.

La copia borra automáticamente el registro original para ocultar datos confidenciales.

Permite que los investigadores trabajen con un duplicado mientras dejan intacta la evidencia original.