복사본이 모든 이벤트 타임스탬프를 현재 시간으로 다시 기록하기 때문입니다.

원본 증거를 변경하지 않은 채 복사본으로 조사할 수 있기 때문입니다.

복사된 파일이 존재한다는 사실만으로 어떤 IP가 공격을 수행했는지 입증되기 때문입니다.

복사하면 민감한 데이터를 숨기기 위해 원본 로그가 자동으로 삭제되기 때문입니다.