Segundo NIST, o processo de resposta a incidentes de segurança é dividido em quatro etapas. São elas:

1. preparação;

2. detecção e análise de incidentes;

3. contenção, erradicação e recuperação; e

4. atividades pós-incidente.

A fase na qual deve ser realizada a coleta de evidências forenses é a de