A fase de busca de evidências pode ser dividida em três etapas, são elas: Coleta de evidências, Network Analysis, Post Mortem Analysis. Coleta de evidências, Live Analysis, Post Mortem Analysis Live Analysis, Network Analysis, Post Mortem Analysis Coleta de evidências, Live Analysis, Network Analysis.