La copie réécrit tous les horodatages des événements avec l’heure actuelle.

La copie efface automatiquement le journal original pour masquer les données sensibles.

Cela permet aux enquêteurs de travailler sur une copie tout en laissant les éléments de preuve originaux inchangés.

La présence d’un fichier copié prouve quelle adresse IP a effectué l’attaque.