É possível que uma ação não gere nenhum tipo de vestígio

Ao subverter, ao ocultar ou eliminar vestígios, produz-se mais vestígios

Uma vez compreendida as ações e condições que criam ou geram vestígios, então a ausência de vestígios é, por si só, um vestígio

O paradoxo de rootkit, torna factível sua identificação pela sua própria atuação em se esconder em um sistema

Em uma análise forense, é imperioso levar em conta não apenas o sistema ou a máquina onde a ação foi feita, mas tudo pode ser relevante a ponto de ser analisado e, em conjunto, revelar os fatos