L'acquisizione forense è la raccolta controllata di dati per uso investigativo, riducendo al minimo le alterazioni. L'obiettivo è acquisire prove in modo da preservarne l'integrità, così che i dati originali possano ancora essere considerati affidabili in seguito nell'analisi, in tribunale o in una revisione interna.
Nella sicurezza informatica, l'acquisizione è importante perché le prove digitali sono facili da modificare, sovrascrivere o perdere. Gli investigatori possono creare un'immagine di un disco, esportare i log o raccogliere dati da servizi cloud e dispositivi IoT, documentando ogni passaggio per la catena di custodia. Negli attacchi, un'acquisizione scorretta può distruggere timestamp, metadati o artefatti volatili che mostrano cosa è accaduto. Nelle difese, un'acquisizione accurata supporta la risposta agli incidenti, l'analisi malware e la conformità, preservando le prove senza contaminarle. Il processo spesso utilizza write blocker, hash verificati e procedure di gestione rigorose per mantenere la raccolta ripetibile e difendibile.