Los examinadores añaden una imagen de disco y ejecutan módulos de ingesta que encuentran archivos borrados, historial web y coincidencias de palabras clave. Las líneas de tiempo y las bases de datos de hashes ayudan a organizar los hallazgos. Los plug-ins la amplían.
La usan fuerzas del orden, investigadores corporativos y estudiantes. Los informes deben validarse antes de usarlos ante un tribunal.
Magnet AXIOM y Cellebrite son alternativas comerciales. Autopsy encaja con peritos forenses con presupuestos limitados.