Open source computer forensics værktøjer er ofte foretrukket frem kommercielle alternativer , fordi deres metoder er bedre dokumenteret, og resultaterne lettere duplikeres . Dette skyldes, at open source- programmer giver brugere med adgang til den originale kildekode og programmør kommentarer . Når computer forensics bevismateriale anvendes i retten , er det bedst, hvis de værktøjer, der anvendes i dens opdagelse kan undersøges og forklares til retten. Lukket source alternativer ikke giver denne evne , netop fordi deres kildekode er den private ejendom kommerciel virksomhed , der sælger software. Forensic Acquisition Utilities
Forensics Acquisition Utilities bidrage til at åbne en harddisk.

Snarere end som indeholder et enkelt program , Retsmedicinsk Acquisition Utilities er en samling af computer forensics værktøjer, der er bundtede af George Garner . Disse programmer kan hjælpe computer forensics eksaminator i at indsamle bevismateriale fra en kørende Windows-computer -system. Pakken indeholder værktøjer til at rense lagringsmedier til kriminalteknisk dobbeltarbejde , lokalisere og identificere logiske enheder og sikre dataintegritet med en kryptografisk kontrolsum . Selv om det gør minimere ændringer af det oprindelige datasæt , er denne pakke ikke forhindre alle ændringer.
TestDisk
TestDisk hjælper gendanne slettede oplysninger .

TestDisk er en nem at bruge, kraftfuld, open-source data recovery program. Det bruges til at gendanne data, der er gået tabt på grund af defekt software , nogle vira og menneskelig indgriben enten tilsigtet eller utilsigtet . Brug TestDisk kan en computer forensics eksaminator gendanne data fra nogen af de mest almindelige diskpartitioner. Disse partitioner kan være blevet beskadiget eller slettet ved en defekt program eller virus. En anden mulighed er, at skillevægge kan være blevet slettet af brugeren , enten ved et uheld eller bevidst at skjule beviser.
LiveView
Brug LiveView steder computer forensics censor lige ved tastaturet på den mistænkte system.

Brug TestDisk vil genvinde tabte data, og Forensic Acquisition Utilities kan kopiere disse data på en anden disk , men computer forensics eksaminator skal LiveView få adgang til og analysere beviser. LiveView tillader undersøgeren at konvertere rå disk billedet til et format , som kan anvendes ved en VMware virtuel maskine . Den computer forensics eksaminator kan derefter " starte op " billedet , som om han sad lige ved tastaturet på computeren det blev taget fra . Når dette er gjort, vil han være i stand til at kigge rundt i systemet og søge efter de filer, han behøver for at bygge sin sag.