L'acquisizione del file system è una cattura forense dei file, delle cartelle e dei metadati correlati di un dispositivo per un'analisi successiva. A differenza di una semplice esportazione dei contenuti visibili, mira a preservare la struttura delle directory sottostante, i database delle app, i log, le cache e i file di configurazione che possono contenere prove. Su telefoni e computer, questo tipo di acquisizione può rivelare come i dati sono stati archiviati e quando sono cambiati, rendendola utile per la costruzione di timeline e la correlazione degli artefatti.
Nella sicurezza informatica, l'acquisizione del file system è importante perché molte tracce rilevanti non sono evidenti agli utenti. Gli analisti possono utilizzarla in seguito a un sospetto compromesso, furto di dati, abuso delle policy o perdita del dispositivo per cercare artefatti di persistenza, residui di app malevole o segni di esfiltrazione. I difensori vi fanno affidamento anche per la risposta agli incidenti e la revisione legale, dove una copia conservata può essere analizzata più volte senza alterare il dispositivo originale. La qualità dell'acquisizione dipende dallo stato del dispositivo, dai permessi e dalle protezioni della piattaforma, quindi alcuni artefatti possono risultare incompleti o inaccessibili.